Serverseitige Web-Angriffe
Lernen Sie serverseitige Web-Angriffe kennen, die nicht auf den Browser, sondern auf das vertrauenswürdige Backend-Verhalten einer Anwendung abzielen. Diese Schwachstellen sind besonders gefährlich, da sie es Angreifern ermöglichen, den Server dazu zu bringen, interne Ressourcen abzurufen, bösartige Dokumente zu parsen oder gefälschte Authentifizierungs-Token zu akzeptieren. Dieser Kurs vermittelt Ihnen die Funktionsweise von SSRF, XXE und JWT-Manipulation sowie die Art und Weise, wie Angreifer diese zu tiefergehenden serverseitigen Kompromittierungen verketten.
Warum das wichtig ist
Serverseitige Schwachstellen untergraben Annahmen, denen Teams oft zu sehr vertrauen. Wenn eine Anwendung im Auftrag eines Benutzers auf interne Dienste zugreifen, lokale Dateien durch unsicheres Parsing lesen oder ein gefälschtes Token akzeptieren kann, ist der Angreifer oft in der Lage, Segmentierungs- und Zugriffskontrollschichten zu umgehen, die von außen betrachtet sicher erschienen.
Dieser Kurs konzentriert sich auf Angriffsketten mit hoher Auswirkung. Sie lernen, wie Sie Backend-Anfragen erzwingen, XML-Parsing missbrauchen, JWTs untersuchen und modifizieren sowie serverseitige Schwachstellen kombinieren, um Geheimnisse zu extrahieren und sich als privilegierter Benutzer auszugeben.
Was Sie lernen werden
- Ausnutzung von SSRF, um interne Dienste und geschützte Backend-Ressourcen zu erreichen.
- Missbrauch von XXE, um lokale Dateien zu lesen und sensible serverseitige Daten zu extrahieren.
- Dekodierung, Analyse und Manipulation von JWT-basierten Authentifizierungs-Token.
- Verständnis dafür, wie Token-Vertrauen und Parser-Verhalten Sicherheitslücken schaffen.
- Verkettung serverseitiger Schwachstellen zu einer realistischen Kompromittierung mit privilegiertem Zugriff.
Kurs-Roadmap
- Server-Side Request Forgery (SSRF): Zwingen Sie einen Zielserver dazu, Anfragen zu stellen, die Sie nicht direkt senden könnten.
- XML External Entity (XXE) Injection: Nutzen Sie unsicheres XML-Parsing aus, um sensible lokale Daten zu lesen.
- Grundlagen der JWT-Manipulation: Analysieren Sie die Token-Struktur und nutzen Sie schwache Validierungen oder eine fehlerhafte Signaturprüfung aus.
- Serverseitige Exploitation-Challenge: Verketten Sie mehrere Schwachstellen, um Geheimnisse wiederherzustellen und administrative Kontrollen zu umgehen.
Für wen dieser Kurs geeignet ist
- Lernende, die von grundlegenden Web-Schwachstellen zu tiefergehender serverseitiger Exploitation übergehen möchten.
- Sicherheitstester, die praktische Erfahrungen mit hochwirksamen Backend-Angriffspfaden sammeln müssen.
- Verteidiger, die verstehen wollen, wie Vertrauensgrenzen in Webanwendungen und APIs versagen.
Ergebnisse
Am Ende dieses Kurses sind Sie in der Lage, gängige serverseitige Web-Schwachstellen zu identifizieren und auszunutzen, zu erklären, warum diese gefährlich sind, und nachzuvollziehen, wie sie zu einer schwerwiegenden Kompromittierung der Anwendung führen können.
