Cross-Site-Scripting: Netflix stellt Tool zum Auffinden von Sicherheitslücken vor

Der Streamingdienst Netflix erstellt nicht nur aufwendige Eigenproduktionen, sondern entwickelt auch Sicherheitstools. Jetzt hat das Unternehmen ein Werkzeug zum Auffinden von Schwächen von Cross-Site-Scripting vorgestellt.

Artikel veröffentlicht am ,
SleepPuppy: schematische Darstellung
SleepPuppy: schematische Darstellung (Bild: Netflix)

Der Streaming-Dienst Netflix stellt auf seinem Github-Profil mit dem Namen Sleepy Puppy seit kurzem ein Sicherheitstool unter offener Lizenz bereit. Es soll das Auffinden von Anfälligkeiten für Cross-Site-Scripting (XSS) in Formularen und anderen Applikationen erleichtern. Ziel der Netflix-Verantwortlichen war es, entsprechende Schwachstellen einfacher zu finden und miteinander vernetzte Systeme besser zu verstehen.

XSS-Schwächen zu finden ist komplex

Stellenmarkt
  1. Java-Entwickler (w/m/d) After Sales
    SSI SCHÄFER Automation GmbH, Dortmund, Giebelstadt, Münster
  2. Softwareentwickler (w/m/d) Automation
    SSI SCHÄFER Automation GmbH, Giebelstadt bei Würzburg
Detailsuche

Web-Applikationen auf XSS-Schwächen zu testen, ist komplex, da Programmierer alle Eingaben und Ausgaben einer Applikation prüfen müssen. Einmal eingegebene Nutzerdaten können in vielen verschiedenen Kontexten auftauchen. Ein im Feld "Vorname" eingegebener Datensatz etwa kann in Buchhaltungssystemen oder im Kundenservice auftauchen. Jedes System kann wiederum für andere Angriffe verwundbar sein. Alle Möglichkeiten vorab manuell zu testen, ist bei komplexen Systemen kaum möglich.

Mit dem neuen Verfahren soll es möglich sein, Schadcode (den "payload") gezielt in ein Web-Frontend zu injizieren, um dann die Auswirkungen auf andere Systeme zu testen. Das System zeigt den Ingenieuren auch an, an welcher Stelle der bösartige Code seine Wirkung entfaltet.

Angreifer nutzen die Schwächen häufig aus

Bei XSS-Schwächen nutzen Angreifer Fehler in Onlineformularen, um Schadcode in Webanwendungen auszuführen. Dies kann funktionieren, wenn die Webanwendung Daten vor der Weiterleitung an den Browser nicht auf Validität überprüft.

Golem Akademie
  1. Penetration Testing Fundamentals
    23.-24. September 2021, online
  2. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
  3. Terraform mit AWS
    14./15. September 2021, online
Weitere IT-Trainings

SleepPuppy ist nicht das erste Sicherheitstool, das Netflix veröffentlicht. Im vergangenen Jahr veröffentlichte das Unternehmen die Tools Scumblr und Sketchy, zwei Programme, die soziale Netzwerke nach möglichen Angriffen auf Systeme durchsuchen. Das Tool Security Monkey wird genutzt, um ein besseres Monitoring von Amazon-Web-Services (AWS) zu gewährleisten.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Opel Mokka-e im Praxistest
Reichweitenangst kickt mehr als Koffein

Ist ein Kompakt-SUV wie Opel Mokka-e für den Urlaub geeignet? Im Praxistest war nicht der kleine Akku das eigentliche Problem.
Ein Test von Friedhelm Greis

Opel Mokka-e im Praxistest: Reichweitenangst kickt mehr als Koffein
Artikel
  1. Statt TCP: Quic ist schwer zu optimieren
    Statt TCP
    Quic ist schwer zu optimieren

    Eine Untersuchung von Quic im Produktiveinsatz zeigt: Die Vorteile des Protokolls sind wohl weniger wichtig als die Frage, wer es einsetzt.

  2. Lockbit 2.0: Ransomware will Firmen-Insider rekrutieren
    Lockbit 2.0
    Ransomware will Firmen-Insider rekrutieren

    Die Ransomware-Gruppe Lockbit sucht auf ungewöhnliche Weise nach Insidern, die ihr Zugangsdaten übermitteln sollen.

  3. Galactic Starcruiser: Disney eröffnet immersives (und teures) Star-Wars-Hotel
    Galactic Starcruiser
    Disney eröffnet immersives (und teures) Star-Wars-Hotel

    Wer schon immer zwei Tage lang wie in einem Star-Wars-Abenteuer leben wollte, bekommt ab dem Frühjahr 2022 die Chance dazu - das nötige Kleingeld vorausgesetzt.

hg (Golem.de) 03. Sep 2015

Danke für den Hinweis. Ist ein Tippfehler und wird morgen früh korrigiert. Einen schönen...



Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Fire TV Stick 4K Ultra HD 29,99€, Echo Dot 3. Gen. 24,99€ • Robas Lund DX Racer Gaming-Stuhl 143,47€ • HyperX Cloud II Gaming-Headset 59€ • Media Markt Breaking Deals [Werbung]
    •  /