Directory Traversal (auch Path Traversal genannt) ist eine Sicherheitslücke in Webanwendungen, bei der ein Angreifer Zugriff auf Dateien oder Verzeichnisse außerhalb des beabsichtigten Verzeichnisses erhält. Dabei nutzt der Angreifer manipulierte Pfadangaben, um sich durch das Dateisystem des Servers zu bewegen.
Eine unsichere Webanwendung verarbeitet Dateipfade oft direkt aus Benutzereingaben, z. B. in einer URL wie:
https://example.com/getFile?file=report.pdfWenn der Server die Eingabe nicht ausreichend überprüft, könnte ein Angreifer sie manipulieren:
https://example.com/getFile?file=../../../../etc/passwdHierbei nutzt der Angreifer ../ (die Parent-Directory-Notation), um sich aus dem vorgesehenen Verzeichnis herauszubewegen und eine Systemdatei wie /etc/passwd (unter Linux) auszulesen.
Ein Bearer Token ist eine Art von Zugriffstoken, das zur Authentifizierung und Autorisierung in Webanwendungen und APIs verwendet wird. Der Begriff "Bearer" bedeutet „Inhaber“, was bedeutet, dass jeder, der dieses Token besitzt, Zugriff auf die geschützten Ressourcen hat – ohne zusätzliche Überprüfung.
Authorization: Bearer <token>.GET /geschuetzte-daten HTTP/1.1
Host: api.example.com
Authorization: Bearer abcdef123456💡 Tipp: Um die Sicherheit zu erhöhen, kann man Token mit kurzen Laufzeiten verwenden und sie nur über HTTPS übertragen.
OAuth (Open Authorization) ist ein offenes Standardprotokoll für Autorisierungen, das es Anwendungen ermöglicht, auf Ressourcen eines Nutzers zuzugreifen, ohne dessen Zugangsdaten (z. B. Passwort) direkt zu kennen. Es wird häufig für Single Sign-On (SSO) und API-Zugriffe verwendet.
OAuth arbeitet mit Tokens, die einer Anwendung erlauben, im Namen eines Nutzers auf eine Ressource zuzugreifen. Der typische Ablauf sieht so aus:
CORS (Cross-Origin Resource Sharing) ist ein Sicherheitsmechanismus, der von Webbrowsern implementiert wird, um zu kontrollieren, welche Webseiten auf Ressourcen von anderen Domains zugreifen dürfen. Standardmäßig blockieren Browser aus Sicherheitsgründen sogenannte Cross-Origin-Anfragen, also Anfragen von einer Webseite an eine andere Domain, ein anderes Protokoll oder einen anderen Port.
Ohne CORS könnten bösartige Webseiten im Hintergrund Anfragen an andere Server senden (z. B. API-Server oder Banking-Seiten), wodurch sensible Daten gestohlen oder missbraucht werden könnten (Cross-Site Request Forgery, CSRF). CORS sorgt dafür, dass nur explizit erlaubte Webseiten auf Ressourcen zugreifen dürfen.
Wenn eine Webanwendung eine Cross-Origin-Anfrage stellt (z. B. von http://example.com an https://api.example.com), sendet der Browser automatisch eine CORS-Anfrage. Der Server kann dann in den HTTP-Headern antworten, ob die Anfrage erlaubt ist:
Ohne CORS-Header:
Der Browser blockiert die Anfrage.
Mit CORS-Headern:
Der Server kann mit Access-Control-Allow-Origin: * (alle Domains) oder einer bestimmten Domain (Access-Control-Allow-Origin: https://example.com) antworten. Damit wird der Zugriff erlaubt.
Für einige Anfragen (z. B. mit PUT, DELETE, speziellen Headern) führt der Browser einen Preflight-Request mit der OPTIONS-Methode aus. Der Server muss dann mit den richtigen CORS-Headern antworten, um die Hauptanfrage zu ermöglichen.
CORS ist eine wichtige Sicherheitsmaßnahme, die verhindert, dass unerlaubte Webseiten auf fremde Ressourcen zugreifen. Entwickler müssen serverseitig die richtigen Header setzen, um den Zugriff für legitime Clients zu erlauben.
Dynamic HTML (DHTML) ist eine Kombination von Technologien, die verwendet wird, um interaktive und dynamische Webinhalte zu erstellen. Es ist kein eigenständiger Standard oder eine Programmiersprache, sondern eine Sammlung von Techniken und Tools, die zusammenarbeiten. Mit DHTML können Websites dynamisch und interaktiv gestaltet werden, ohne dass die gesamte Seite neu geladen werden muss.
HTML (Hypertext Markup Language)
Die Grundstruktur der Website.
CSS (Cascading Style Sheets)
Steuert das Aussehen und das Layout der Webseite. Mit CSS können Stile dynamisch verändert werden, z. B. durch Hover-Effekte oder das Ändern von Farben und Positionen.
JavaScript
Ermöglicht das Hinzufügen von Interaktivität und dynamischem Verhalten, wie das Aktualisieren von Inhalten, ohne die Seite neu zu laden.
DOM (Document Object Model)
Eine Programmierschnittstelle, die den Zugriff auf und die Manipulation der Struktur der Webseite ermöglicht. JavaScript interagiert mit dem DOM, um Inhalte zu ändern oder neue Elemente hinzuzufügen.
Ein einfaches Beispiel wäre ein Button, der beim Anklicken den Text auf der Seite ändert.
<!DOCTYPE html>
<html>
<head>
<style>
#text {
color: blue;
font-size: 20px;
}
</style>
<script>
function changeText() {
document.getElementById("text").innerHTML = "Text geändert!";
document.getElementById("text").style.color = "red";
}
</script>
</head>
<body>
<p id="text">Originaler Text</p>
<button onclick="changeText()">Klicke mich</button>
</body>
</html>Heutzutage hat DHTML durch modernere Techniken wie AJAX und Frameworks (z. B. React, Vue.js) an Bedeutung verloren, war jedoch ein wichtiger Schritt in der Entwicklung interaktiver Webanwendungen.
SonarQube ist ein Open-Source-Tool zur kontinuierlichen Analyse und Qualitätssicherung von Quellcode. Es hilft Entwicklern und Teams, die Codequalität zu bewerten, Schwachstellen zu identifizieren und Best Practices in der Softwareentwicklung zu fördern.
Codequalität prüfen:
Sicherheitslücken aufdecken:
Technische Schulden bewerten:
Unterstützung für viele Programmiersprachen:
Berichte und Dashboards:
SonarQube ist in einer kostenlosen Community-Edition und in kommerziellen Versionen mit erweiterten Funktionen verfügbar (z. B. für größere Teams oder spezielle Sicherheitsanalysen).
Renovate ist ein Open-Source-Tool, das den Prozess der Abhängigkeitsverwaltung automatisiert. Es überwacht kontinuierlich die Abhängigkeiten eines Softwareprojekts (wie npm, Maven, Docker) und erstellt Pull Requests, um veraltete Pakete zu aktualisieren. So bleibt das Projekt auf dem neuesten Stand und sicher.
Hauptfunktionen umfassen:
Es hilft, technische Schulden zu reduzieren und Sicherheitslücken durch Drittabhängigkeiten zu minimieren, was es besonders bei GitHub, GitLab und Bitbucket beliebt macht.
GitHub Copilot ist ein KI-gestützter Code-Assistent, der von GitHub in Zusammenarbeit mit OpenAI entwickelt wurde. Es verwendet maschinelles Lernen, um Entwicklern bei der Programmierung zu helfen, indem es Code-Vorschläge in Echtzeit direkt in die Entwicklungsumgebung (IDE) einfügt. Copilot wurde entwickelt, um die Produktivität zu steigern, indem es automatisch Code-Blöcke, Funktionen und sogar vollständige Algorithmen basierend auf dem Kontext und den Eingaben des Entwicklers vorschlägt.
GitHub Copilot basiert auf einem maschinellen Lernmodell namens Codex, das von OpenAI entwickelt wurde. Codex ist auf Milliarden von Zeilen öffentlichem Code trainiert und in der Lage, verschiedene Programmierkonzepte zu verstehen und anzuwenden. Die Vorschläge von Copilot basieren auf den Kommentaren, den Funktionsnamen und dem aktuellen Kontext in der Datei, die der Entwickler bearbeitet.
GitHub Copilot ist als kostenpflichtiger Dienst erhältlich, bietet aber auch eine kostenlose Testphase und vergünstigte Optionen für Studenten und Open-Source-Entwickler an.
GitHub Copilot hat das Potenzial, die Art und Weise, wie Entwickler arbeiten, grundlegend zu verändern. Allerdings sollte es als Assistent und nicht als Ersatz für das eigene Verständnis und die Sorgfalt im Entwicklungsprozess gesehen werden.
Exakat ist ein statisches Analyse-Tool für PHP, das speziell entwickelt wurde, um die Codequalität zu verbessern und Best Practices in PHP-Projekten sicherzustellen. Ähnlich wie Psalm konzentriert es sich auf die Analyse von PHP-Code, bietet jedoch einige einzigartige Funktionen und Analysen, um Entwicklern zu helfen, Fehler zu erkennen und ihre Anwendungen effizienter und sicherer zu machen.
Hier sind einige der Hauptfunktionen von Exakat:
Exakat kann als eigenständiges Tool oder in eine Continuous Integration (CI)-Pipeline integriert werden, um sicherzustellen, dass Code kontinuierlich auf Qualität und Sicherheit überprüft wird. Es ist ein vielseitiges Werkzeug für PHP-Entwickler, die ihren Code verbessern und auf einem hohen Standard halten möchten.
Painless ist eine in Elasticsearch eingebaute Skriptsprache, die für effiziente und sichere Ausführung von Skripten entwickelt wurde. Sie bietet die Möglichkeit, benutzerdefinierte Berechnungen und Transformationen in Elasticsearch durchzuführen. Hier sind einige wichtige Merkmale und Anwendungen von Painless:
Performance: Painless ist auf Geschwindigkeit optimiert und führt Skripte sehr effizient aus.
Sicherheit: Painless ist so konzipiert, dass es sicher ist. Es schränkt den Zugriff auf gefährliche Operationen ein und verhindert potenziell schädliche Skripte.
Syntax: Painless verwendet eine Java-ähnliche Syntax, was es Entwicklern, die mit Java vertraut sind, leicht macht, es zu erlernen und zu verwenden.
Eingebaute Typen und Funktionen: Painless bietet eine Vielzahl von eingebauten Typen und Funktionen, die für die Arbeit mit Daten in Elasticsearch nützlich sind.
Integration mit Elasticsearch: Painless ist tief in Elasticsearch integriert und kann in verschiedenen Bereichen wie Suchen, Aggregationen, Aktualisierungen und Ingest Pipelines verwendet werden.
Skripting in Suchanfragen: Painless kann verwendet werden, um benutzerdefinierte Berechnungen in Suchanfragen durchzuführen. Zum Beispiel können Sie Scores anpassen oder benutzerdefinierte Filter erstellen.
Skripting in Aggregationen: Sie können Painless verwenden, um benutzerdefinierte Metriken und Berechnungen in Aggregationen durchzuführen, was Ihnen hilft, tiefergehende Analysen durchzuführen.
Aktualisierungen: Painless kann in Update-Skripten verwendet werden, um Dokumente in Elasticsearch zu aktualisieren. Dies ermöglicht es, komplexe Update-Operationen durchzuführen, die über einfache Feldzuweisungen hinausgehen.
Ingest Pipelines: Painless kann in Ingest Pipelines verwendet werden, um Dokumente während der Indexierung zu transformieren. Dies ermöglicht die Durchführung von Berechnungen oder Datenanreicherungen, bevor die Daten im Index gespeichert werden.
Hier ist ein einfaches Beispiel für ein Painless-Skript, das in einer Elasticsearch-Suchanfrage verwendet wird, um ein benutzerdefiniertes Feld zu berechnen:
{
"query": {
"match_all": {}
},
"script_fields": {
"custom_score": {
"script": {
"lang": "painless",
"source": "doc['field1'].value + doc['field2'].value"
}
}
}
}In diesem Beispiel erstellt das Skript ein neues Feld custom_score, das die Summe von field1 und field2 für jedes Dokument berechnet.
Painless ist eine mächtige Skriptsprache in Elasticsearch, die es ermöglicht, benutzerdefinierte Logik effizient und sicher zu implementieren.
Contao
