• IT-Karriere:
  • Services:

Cross-Site-Scripting: Netflix stellt Tool zum Auffinden von Sicherheitslücken vor

Der Streamingdienst Netflix erstellt nicht nur aufwendige Eigenproduktionen, sondern entwickelt auch Sicherheitstools. Jetzt hat das Unternehmen ein Werkzeug zum Auffinden von Schwächen von Cross-Site-Scripting vorgestellt.

Artikel veröffentlicht am ,
SleepPuppy: schematische Darstellung
SleepPuppy: schematische Darstellung (Bild: Netflix)

Der Streaming-Dienst Netflix stellt auf seinem Github-Profil mit dem Namen Sleepy Puppy seit kurzem ein Sicherheitstool unter offener Lizenz bereit. Es soll das Auffinden von Anfälligkeiten für Cross-Site-Scripting (XSS) in Formularen und anderen Applikationen erleichtern. Ziel der Netflix-Verantwortlichen war es, entsprechende Schwachstellen einfacher zu finden und miteinander vernetzte Systeme besser zu verstehen.

XSS-Schwächen zu finden ist komplex

Stellenmarkt
  1. THD - Technische Hochschule Deggendorf, Deggendorf
  2. über eTec Consult GmbH, Südliches Badenwürtemberg

Web-Applikationen auf XSS-Schwächen zu testen, ist komplex, da Programmierer alle Eingaben und Ausgaben einer Applikation prüfen müssen. Einmal eingegebene Nutzerdaten können in vielen verschiedenen Kontexten auftauchen. Ein im Feld "Vorname" eingegebener Datensatz etwa kann in Buchhaltungssystemen oder im Kundenservice auftauchen. Jedes System kann wiederum für andere Angriffe verwundbar sein. Alle Möglichkeiten vorab manuell zu testen, ist bei komplexen Systemen kaum möglich.

Mit dem neuen Verfahren soll es möglich sein, Schadcode (den "payload") gezielt in ein Web-Frontend zu injizieren, um dann die Auswirkungen auf andere Systeme zu testen. Das System zeigt den Ingenieuren auch an, an welcher Stelle der bösartige Code seine Wirkung entfaltet.

Angreifer nutzen die Schwächen häufig aus

Bei XSS-Schwächen nutzen Angreifer Fehler in Onlineformularen, um Schadcode in Webanwendungen auszuführen. Dies kann funktionieren, wenn die Webanwendung Daten vor der Weiterleitung an den Browser nicht auf Validität überprüft.

SleepPuppy ist nicht das erste Sicherheitstool, das Netflix veröffentlicht. Im vergangenen Jahr veröffentlichte das Unternehmen die Tools Scumblr und Sketchy, zwei Programme, die soziale Netzwerke nach möglichen Angriffen auf Systeme durchsuchen. Das Tool Security Monkey wird genutzt, um ein besseres Monitoring von Amazon-Web-Services (AWS) zu gewährleisten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. (u. a. Gigabyte Radeon RX 6800 Gaming OC 16G für 878,87€)
  2. (u. a. Ryzen 5 5600X für 359€, Ryzen 7 5800X für 489€)

hg (Golem.de) 03. Sep 2015

Danke für den Hinweis. Ist ein Tippfehler und wird morgen früh korrigiert. Einen schönen...


Folgen Sie uns
       


Sega Mega Drive (1990) - Golem retro_

Mit Mega-Power sagte Sega 1990 der Konkurrenz den Kampf an. Im Golem retro_ holen wir uns die Spielhalle nach Hause.

Sega Mega Drive (1990) - Golem retro_ Video aufrufen
Elektromobilität 2020/21: Nur Tesla legte in der Krise zu
Elektromobilität 2020/21
Nur Tesla legte in der Krise zu

Für die Autoindustrie war 2020 ein hartes Jahr. Wer im Homeoffice arbeitet und auch sonst zu Hause bleibt, braucht kein neues Auto. Doch in einem schwierigen Umfeld entwickelten sich die E-Auto-Verkäufe sehr gut.
Eine Analyse von Dirk Kunde

  1. Elektromobilität Akkupreise fallen auf Rekord von 66 Euro/kWh
  2. Transporter Mercedes eSprinter bekommt neue Elektroplattform
  3. Aptera Günstige Elektrofahrzeuge vorbestellbar

Antivirus: Das Jahr der unsicheren Sicherheitssoftware
Antivirus
Das Jahr der unsicheren Sicherheitssoftware

Antivirus-Software soll uns eigentlich schützen, doch das vergangene Jahr hat erneut gezeigt: Statt Schutz gibt es Sicherheitsprobleme frei Haus.
Von Moritz Tremmel

  1. NortonLifeLock Norton kauft deutschen Antivirenhersteller Avira

Laschet, Merz, Röttgen: Mit digitalem Bullshit-Bingo zum CDU-Vorsitz
Laschet, Merz, Röttgen
Mit digitalem Bullshit-Bingo zum CDU-Vorsitz

Die CDU wählt am Wochenende einen neuen Vorsitzenden. Merz, Laschet und Röttgens Chefstrategin Demuth haben bei Netzpolitik noch einiges aufzuholen.
Ein IMHO von Friedhelm Greis

  1. Digitale Abstimmung Armin Laschet ist neuer CDU-Vorsitzender
  2. Netzpolitik Rechte Community-Webseite Voat macht Schluss

    •  /