Cross-Site-Scripting: Netflix stellt Tool zum Auffinden von Sicherheitslücken vor
Der Streaming-Dienst Netflix stellt auf seinem Github-Profil(öffnet im neuen Fenster) mit dem Namen Sleepy Puppy(öffnet im neuen Fenster) seit kurzem ein Sicherheitstool unter offener Lizenz bereit. Es soll das Auffinden von Anfälligkeiten für Cross-Site-Scripting (XSS) in Formularen und anderen Applikationen erleichtern. Ziel der Netflix-Verantwortlichen war es, entsprechende Schwachstellen einfacher zu finden und miteinander vernetzte Systeme besser zu verstehen(öffnet im neuen Fenster) .
XSS-Schwächen zu finden ist komplex
Web-Applikationen auf XSS-Schwächen zu testen, ist komplex, da Programmierer alle Eingaben und Ausgaben einer Applikation prüfen müssen. Einmal eingegebene Nutzerdaten können in vielen verschiedenen Kontexten auftauchen. Ein im Feld "Vorname" eingegebener Datensatz etwa kann in Buchhaltungssystemen oder im Kundenservice auftauchen. Jedes System kann wiederum für andere Angriffe verwundbar sein. Alle Möglichkeiten vorab manuell zu testen, ist bei komplexen Systemen kaum möglich.
Mit dem neuen Verfahren soll es möglich sein, Schadcode (den "payload") gezielt in ein Web-Frontend zu injizieren, um dann die Auswirkungen auf andere Systeme zu testen. Das System zeigt den Ingenieuren auch an, an welcher Stelle der bösartige Code seine Wirkung entfaltet.
Angreifer nutzen die Schwächen häufig aus
Bei XSS-Schwächen nutzen Angreifer Fehler in Onlineformularen, um Schadcode in Webanwendungen auszuführen. Dies kann funktionieren, wenn die Webanwendung Daten vor der Weiterleitung an den Browser nicht auf Validität überprüft.
SleepPuppy ist nicht das erste Sicherheitstool, das Netflix veröffentlicht. Im vergangenen Jahr veröffentlichte das Unternehmen die Tools Scumblr(öffnet im neuen Fenster) und Sketchy(öffnet im neuen Fenster) , zwei Programme, die soziale Netzwerke nach möglichen Angriffen auf Systeme durchsuchen. Das Tool Security Monkey(öffnet im neuen Fenster) wird genutzt, um ein besseres Monitoring von Amazon-Web-Services (AWS) zu gewährleisten.