Seite 3 - Security/OWASP

E2E-Tests und Penetration-Tests werden in Projektgesprächen gelegentlich so behandelt, als könnte eine ausreichend umfangreiche E2E-Testsuite einen eigenständigen Penetration-Test irgendwann überflüssig machen, was auf einem grundlegenden Missverständnis der jeweiligen Testabsicht beruht: Ein E2E-Test prüft, ob eine Anwendung entlang bekannter, vorab definierter Nutzerpfade wie erwartet funktioniert, während ein Penetration-Test gezielt versucht, die Anwendung auf Wegen zu missbrauchen, die kein Entwicklungsteam beim Schreiben der Testfälle vorher bedacht hat. Diese grundlegend unterschiedliche Denkrichtung macht beide Testarten zu sinnvollen, sich ergänzenden Bausteinen einer Qualitätssicherungs-Strategie, aber keine der beiden kann die jeweils andere strukturell ersetzen.

Wer Kartendaten direkt im eigenen Shop verarbeitet oder speichert, vervielfacht den Aufwand für Audits, Netzwerksegmentierung und jährliche Zertifizierung. Hosted Fields, Iframe-Tokenisierung und Redirect-Zahlungen halten Magento-Shops konsequent außerhalb des PCI-Scopes, reduzieren den Self-Assessment-Aufwand auf SAQ A und schützen Kunden gleichzeitig vor Datendiebstahl und Skimming-Angriffen.

Linux Capabilities teilen die traditionelle Root-Berechtigung in über vierzig einzelne Bits auf, sodass ein Prozess genau ein Recht bekommt, etwa einen privilegierten Port zu öffnen, ohne den gesamten Rest von Root mitzuerben. Das ist der Unterschied zwischen einem Least-Privilege-Design und einem Server, der bei jedem kompromittierten Dienst sofort vollen Root-Zugriff verliert.

Server, auf denen sudo pauschal mit ALL=(ALL) ALL freigegeben ist, verwischen die Grenze zwischen normalem Benutzer und Root vollständig und machen jede Rechtevergabe unkontrollierbar. Dieser Artikel zeigt, wie sudoers sicher mit visudo bearbeitet wird, wie lesbare Aliase granulare Freigaben ermöglichen, wann NOPASSWD gerechtfertigt ist und wie lückenloses Logging jeden privilegierten Befehl nachvollziehbar macht.

Wer Nutzereingaben ungeprüft in shell_exec, exec oder system einbaut, öffnet Angreifern die Tür zur vollständigen Kontrolle über den Server. Dieser Artikel zeigt, wie Command Injection in PHP-Anwendungen entsteht, wo escapeshellarg und escapeshellcmd wirklich helfen und an ihre Grenzen stoßen, und warum native PHP-Bibliotheken und die Symfony Process Komponente die robusteste Lösung sind.

Upload-Formulare zählen zu den gefährlichsten Eintrittspunkten in Webanwendungen, weil Angreifer Dateien gezielt so präparieren, dass sie jede oberflächliche Prüfung bestehen. Wer sich allein auf Dateiendung und Content-Type verlässt, öffnet die Tür für Webshells und ausführbaren Code. Dieser Artikel zeigt, wie Magic-Byte-Validierung, sichere Speicherung außerhalb des Webroots, Dateinamen-Sanitization und Bild-Reencoding echten Schutz aufbauen.

Die Restricted Shell rbash blockiert cd, PATH-Änderungen und den Aufruf von Programmen über einen Pfad mit Slash. Das reicht für einfache, gutartige Einschränkungen wie einen SFTP-Ersatz, ist aber mit dokumentierten Techniken relativ leicht zu umgehen. Wer rbash einsetzt, sollte genau wissen, was es abdeckt und was zusätzlich abgesichert werden muss.

Prepared Statements stoppen die klassische SQL-Injection an der Eingabemaske, aber laengst nicht jeder Vektor laeuft ueber ein einzelnes Formularfeld. Second-Order-Injection, Blind-Injection ohne sichtbare Fehlermeldung, Out-of-Band-Exfiltration ueber DNS und Injection in Identifier-Kontexten wie ORDER BY umgehen genau die Schutzmassnahmen, auf die sich Teams meist verlassen.

Ein einziges universelles Escaping bringt Magento- und Hyvä-Shops in Gefahr, weil HTML, Attribute, JavaScript, URLs und CSS jeweils eigene Syntaxregeln und eigene Angriffsvektoren haben. Dieser Artikel zeigt, warum htmlspecialchars allein nicht reicht, wie die Hyvä-Escaper-Klasse den passenden Kontext trifft und wie Content-Security-Policy als zusätzliche Verteidigungslinie wirkt.

Bash bringt mit der Pseudo-Datei /dev/tcp ein eingebautes Werkzeug mit, um zu prüfen, ob ein TCP-Port auf einem anderen Host erreichbar ist, ganz ohne netcat, nmap oder ein Zusatzpaket zu installieren. Für einfache Erreichbarkeits-Checks in Monitoring- und Deployment-Skripten reicht das oft völlig aus, für echte Sicherheitsanalysen oder große Netzbereiche ist es dagegen der falsche Werkzeugkasten.