Fallstudien

Theorie ist gut – Ergebnisse sind besser. Hier sind einige öffentliche Beispiele unserer Arbeit, die zeigen, wie wir komplexe Sicherheitsherausforderungen lösen.

Fallstudie: Verkettung von Fehlern zur vollständigen Serverübernahme

Ziel: Bewertung der Sicherheit von Tiny Tiny RSS, einem weit verbreiteten Open-Source-Feedreader.

Vorgehen: Wir führten ein tiefgehendes Vulnerability-Research-Projekt durch. Anstatt nur nach einzelnen, hochkritischen Fehlern zu suchen, konzentrierten wir uns darauf, wie mehrere geringere Schwachstellen kombiniert werden können. Ein zielgerichtet gestalteter bösartiger Feed, der URL-Whitelist-Fehler ausnutzte, führte zu Server-Side Request Forgery (SSRF). Diese Schwachstelle wurde dann eskaliert zu Local File Inclusion (LFI) und endete schließlich in Remote Code Execution (RCE).

Ergebnis: Wir haben eine Reihe kritischer Sicherheitslücken verantwortungsbewusst an die Entwickler gemeldet (CVE-2020-25787, CVE-2020-25788, CVE-2020-25789), die umgehend behoben wurden. Dieses Engagement schützte Tausende von Servern vor möglicher Kompromittierung und demonstriert unsere Fähigkeit, komplexe, verkettete Exploits aufzudecken, die automatisierte Scanner oft übersehen.

Fallstudie: Werkzeuge zur Lösung schwieriger Probleme entwickeln

Problem: Das Testen komplexer Web-Authentifizierungsabläufe (wie OAuth 2.0 oder mehrstufige Logins) ist mit herkömmlichen Tools berüchtigt schwer zu automatisieren. Sicherheitsforscher mussten unzählige Stunden damit verbringen, sich manuell erneut zu authentifizieren und Sitzungen zu verwalten.

Lösung: Wir haben OWASP Raider entwickelt – ein Framework für Web-Authentifizierungstests, das Authentifizierung als programmierbare Zustandsmaschine modelliert. Raider wurde in Python entwickelt und ist mit LISP konfigurierbar. Es ermöglicht Sicherheitsforschern, komplexe Interaktionen über Redirects, CSRF-Tokens und Multi-Faktor-Authentifizierungsschritte hinweg zu skripten.

Auswirkung: Raider ist heute ein offizielles OWASP-Projekt und wurde von Branchenführern wie PortSwigger vorgestellt. Dieses Projekt verkörpert unsere Philosophie: Wenn das richtige Werkzeug für eine Aufgabe nicht existiert, besitzen wir die tiefgehende technische Expertise, es zu bauen. Unsere Kunden profitieren in unseren Projekten direkt von dieser Fähigkeit zur maßgeschneiderten Tool-Entwicklung.