Directory Traversal (auch Path Traversal genannt) ist eine Sicherheitslücke in Webanwendungen, bei der ein Angreifer Zugriff auf Dateien oder Verzeichnisse außerhalb des beabsichtigten Verzeichnisses erhält. Dabei nutzt der Angreifer manipulierte Pfadangaben, um sich durch das Dateisystem des Servers zu bewegen.
Eine unsichere Webanwendung verarbeitet Dateipfade oft direkt aus Benutzereingaben, z. B. in einer URL wie:
https://example.com/getFile?file=report.pdfWenn der Server die Eingabe nicht ausreichend überprüft, könnte ein Angreifer sie manipulieren:
https://example.com/getFile?file=../../../../etc/passwdHierbei nutzt der Angreifer ../ (die Parent-Directory-Notation), um sich aus dem vorgesehenen Verzeichnis herauszubewegen und eine Systemdatei wie /etc/passwd (unter Linux) auszulesen.
Ein Bearer Token ist eine Art von Zugriffstoken, das zur Authentifizierung und Autorisierung in Webanwendungen und APIs verwendet wird. Der Begriff "Bearer" bedeutet „Inhaber“, was bedeutet, dass jeder, der dieses Token besitzt, Zugriff auf die geschützten Ressourcen hat – ohne zusätzliche Überprüfung.
Authorization: Bearer <token>.GET /geschuetzte-daten HTTP/1.1
Host: api.example.com
Authorization: Bearer abcdef123456💡 Tipp: Um die Sicherheit zu erhöhen, kann man Token mit kurzen Laufzeiten verwenden und sie nur über HTTPS übertragen.
OAuth (Open Authorization) ist ein offenes Standardprotokoll für Autorisierungen, das es Anwendungen ermöglicht, auf Ressourcen eines Nutzers zuzugreifen, ohne dessen Zugangsdaten (z. B. Passwort) direkt zu kennen. Es wird häufig für Single Sign-On (SSO) und API-Zugriffe verwendet.
OAuth arbeitet mit Tokens, die einer Anwendung erlauben, im Namen eines Nutzers auf eine Ressource zuzugreifen. Der typische Ablauf sieht so aus:
SonarQube ist ein Open-Source-Tool zur kontinuierlichen Analyse und Qualitätssicherung von Quellcode. Es hilft Entwicklern und Teams, die Codequalität zu bewerten, Schwachstellen zu identifizieren und Best Practices in der Softwareentwicklung zu fördern.
Codequalität prüfen:
Sicherheitslücken aufdecken:
Technische Schulden bewerten:
Unterstützung für viele Programmiersprachen:
Berichte und Dashboards:
SonarQube ist in einer kostenlosen Community-Edition und in kommerziellen Versionen mit erweiterten Funktionen verfügbar (z. B. für größere Teams oder spezielle Sicherheitsanalysen).
Renovate ist ein Open-Source-Tool, das den Prozess der Abhängigkeitsverwaltung automatisiert. Es überwacht kontinuierlich die Abhängigkeiten eines Softwareprojekts (wie npm, Maven, Docker) und erstellt Pull Requests, um veraltete Pakete zu aktualisieren. So bleibt das Projekt auf dem neuesten Stand und sicher.
Hauptfunktionen umfassen:
Es hilft, technische Schulden zu reduzieren und Sicherheitslücken durch Drittabhängigkeiten zu minimieren, was es besonders bei GitHub, GitLab und Bitbucket beliebt macht.
GitHub Copilot ist ein KI-gestützter Code-Assistent, der von GitHub in Zusammenarbeit mit OpenAI entwickelt wurde. Es verwendet maschinelles Lernen, um Entwicklern bei der Programmierung zu helfen, indem es Code-Vorschläge in Echtzeit direkt in die Entwicklungsumgebung (IDE) einfügt. Copilot wurde entwickelt, um die Produktivität zu steigern, indem es automatisch Code-Blöcke, Funktionen und sogar vollständige Algorithmen basierend auf dem Kontext und den Eingaben des Entwicklers vorschlägt.
GitHub Copilot basiert auf einem maschinellen Lernmodell namens Codex, das von OpenAI entwickelt wurde. Codex ist auf Milliarden von Zeilen öffentlichem Code trainiert und in der Lage, verschiedene Programmierkonzepte zu verstehen und anzuwenden. Die Vorschläge von Copilot basieren auf den Kommentaren, den Funktionsnamen und dem aktuellen Kontext in der Datei, die der Entwickler bearbeitet.
GitHub Copilot ist als kostenpflichtiger Dienst erhältlich, bietet aber auch eine kostenlose Testphase und vergünstigte Optionen für Studenten und Open-Source-Entwickler an.
GitHub Copilot hat das Potenzial, die Art und Weise, wie Entwickler arbeiten, grundlegend zu verändern. Allerdings sollte es als Assistent und nicht als Ersatz für das eigene Verständnis und die Sorgfalt im Entwicklungsprozess gesehen werden.
Closed Source (auch Proprietary Software genannt) bezeichnet Software, deren Quellcode nicht öffentlich zugänglich ist und nur vom Eigentümer bzw. Entwickler eingesehen, geändert und weitergegeben werden kann. Im Gegensatz zu Open Source-Software, bei der der Quellcode offengelegt wird, bleibt der Quellcode bei Closed Source streng vertraulich.
Geschützter Quellcode: Der Quellcode der Software ist nicht für die Öffentlichkeit einsehbar. Nur der Entwickler oder das Unternehmen, das die Software besitzt, hat Zugriff darauf. Dadurch wird verhindert, dass Dritte die Funktionsweise der Software nachvollziehen oder Änderungen daran vornehmen können.
Lizenzrechtliche Beschränkungen: Closed Source Software wird häufig unter restriktiven Lizenzen vertrieben, die die Nutzung, Modifikation und Weitergabe streng regulieren. Dies bedeutet, dass Nutzer die Software nur innerhalb der durch die Lizenz erlaubten Rahmenbedingungen verwenden dürfen.
Zugangsbeschränkung: Nur autorisierte Entwickler oder Teams innerhalb des Unternehmens, das die Software besitzt, haben die Berechtigung, den Code zu modifizieren oder neue Funktionen hinzuzufügen.
Kommerzielle Nutzung: Closed Source Software wird oft als kommerzielles Produkt angeboten. Nutzer müssen in der Regel eine Lizenz erwerben oder Abonnements abschließen, um die Software zu nutzen. Typische Beispiele sind Anwendungen wie Microsoft Office oder Adobe Photoshop.
Geringere Transparenz: Nutzer haben keine Möglichkeit, den Quellcode auf Sicherheitslücken oder versteckte Funktionen (z. B. Backdoors) zu überprüfen. Dies kann ein Risiko darstellen, wenn Vertrauen in die Software-Sicherheit ein kritischer Faktor ist.
Einige bekannte Closed Source Programme und Plattformen sind:
Closed Source Software ist proprietäre Software, deren Quellcode nicht öffentlich zugänglich ist. Sie wird in der Regel von Unternehmen entwickelt und kommerziell angeboten. Nutzer können die Software verwenden, aber weder den Quellcode einsehen noch modifizieren. Dies bietet Vorteile in Bezug auf den Schutz des geistigen Eigentums und die Qualitätssicherung, geht jedoch zulasten der Flexibilität und Transparenz.
Exakat ist ein statisches Analyse-Tool für PHP, das speziell entwickelt wurde, um die Codequalität zu verbessern und Best Practices in PHP-Projekten sicherzustellen. Ähnlich wie Psalm konzentriert es sich auf die Analyse von PHP-Code, bietet jedoch einige einzigartige Funktionen und Analysen, um Entwicklern zu helfen, Fehler zu erkennen und ihre Anwendungen effizienter und sicherer zu machen.
Hier sind einige der Hauptfunktionen von Exakat:
Exakat kann als eigenständiges Tool oder in eine Continuous Integration (CI)-Pipeline integriert werden, um sicherzustellen, dass Code kontinuierlich auf Qualität und Sicherheit überprüft wird. Es ist ein vielseitiges Werkzeug für PHP-Entwickler, die ihren Code verbessern und auf einem hohen Standard halten möchten.
Painless ist eine in Elasticsearch eingebaute Skriptsprache, die für effiziente und sichere Ausführung von Skripten entwickelt wurde. Sie bietet die Möglichkeit, benutzerdefinierte Berechnungen und Transformationen in Elasticsearch durchzuführen. Hier sind einige wichtige Merkmale und Anwendungen von Painless:
Performance: Painless ist auf Geschwindigkeit optimiert und führt Skripte sehr effizient aus.
Sicherheit: Painless ist so konzipiert, dass es sicher ist. Es schränkt den Zugriff auf gefährliche Operationen ein und verhindert potenziell schädliche Skripte.
Syntax: Painless verwendet eine Java-ähnliche Syntax, was es Entwicklern, die mit Java vertraut sind, leicht macht, es zu erlernen und zu verwenden.
Eingebaute Typen und Funktionen: Painless bietet eine Vielzahl von eingebauten Typen und Funktionen, die für die Arbeit mit Daten in Elasticsearch nützlich sind.
Integration mit Elasticsearch: Painless ist tief in Elasticsearch integriert und kann in verschiedenen Bereichen wie Suchen, Aggregationen, Aktualisierungen und Ingest Pipelines verwendet werden.
Skripting in Suchanfragen: Painless kann verwendet werden, um benutzerdefinierte Berechnungen in Suchanfragen durchzuführen. Zum Beispiel können Sie Scores anpassen oder benutzerdefinierte Filter erstellen.
Skripting in Aggregationen: Sie können Painless verwenden, um benutzerdefinierte Metriken und Berechnungen in Aggregationen durchzuführen, was Ihnen hilft, tiefergehende Analysen durchzuführen.
Aktualisierungen: Painless kann in Update-Skripten verwendet werden, um Dokumente in Elasticsearch zu aktualisieren. Dies ermöglicht es, komplexe Update-Operationen durchzuführen, die über einfache Feldzuweisungen hinausgehen.
Ingest Pipelines: Painless kann in Ingest Pipelines verwendet werden, um Dokumente während der Indexierung zu transformieren. Dies ermöglicht die Durchführung von Berechnungen oder Datenanreicherungen, bevor die Daten im Index gespeichert werden.
Hier ist ein einfaches Beispiel für ein Painless-Skript, das in einer Elasticsearch-Suchanfrage verwendet wird, um ein benutzerdefiniertes Feld zu berechnen:
{
"query": {
"match_all": {}
},
"script_fields": {
"custom_score": {
"script": {
"lang": "painless",
"source": "doc['field1'].value + doc['field2'].value"
}
}
}
}In diesem Beispiel erstellt das Skript ein neues Feld custom_score, das die Summe von field1 und field2 für jedes Dokument berechnet.
Painless ist eine mächtige Skriptsprache in Elasticsearch, die es ermöglicht, benutzerdefinierte Logik effizient und sicher zu implementieren.
Ein statischer Website-Generator (Static Site Generator, SSG) ist ein Tool, das eine statische Website aus Rohdaten wie Textdateien, Markdown-Dokumenten oder Datenbanken und Vorlagen (Templates) erstellt. Hier sind einige wichtige Aspekte und Vorteile von SSGs:
Statische Dateien: SSGs erzeugen reine HTML-, CSS- und JavaScript-Dateien, die direkt von einem Webserver ausgeliefert werden können, ohne dass eine serverseitige Verarbeitung erforderlich ist.
Trennung von Inhalt und Präsentation: Inhalt und Design werden getrennt behandelt. Der Inhalt wird oft in Form von Markdown, YAML oder JSON gespeichert, während das Design durch Templates definiert wird.
Bauzeit: Die Generierung der Website findet zur Entwicklungszeit statt, nicht zur Laufzeit. Das bedeutet, dass der gesamte Inhalt beim Erstellen der Website in statische Dateien kompiliert wird.
Keine Datenbank erforderlich: Da die Website statisch ist, wird keine Datenbank benötigt, was die Sicherheit und Leistung verbessert.
Performance und Sicherheit: Statische Websites sind in der Regel schneller und sicherer als dynamische Websites, da sie weniger anfällig für Angriffe sind und keine serverseitigen Skripte ausgeführt werden müssen.
Schnelligkeit: Da nur statische Dateien ausgeliefert werden, sind Ladezeiten und Serverreaktionen sehr schnell.
Sicherheit: Ohne serverseitige Skripte und Datenbanken gibt es weniger Angriffsvektoren für Hacker.
Einfaches Hosting: Statische Websites können auf jedem Webserver oder Content Delivery Network (CDN) gehostet werden, einschließlich kostenloser Hosting-Dienste wie GitHub Pages oder Netlify.
Skalierbarkeit: Statische Websites können problemlos sehr große Besucherzahlen bewältigen, da keine komplexe Backend-Verarbeitung erforderlich ist.
Versionierung und Kontrolle: Da Inhalte oft in einfachen Textdateien gespeichert werden, können sie leicht mit Versionskontrollsystemen wie Git verfolgt und verwaltet werden.
Static Site Generators sind besonders geeignet für Blogs, Dokumentationsseiten, persönliche Portfolios und andere Websites, bei denen der Inhalt nicht häufig aktualisiert werden muss und wo schnelle Ladezeiten und hohe Sicherheit wichtig sind.
jQuery UI
