Dienstag, 4. Mai 2010
Auch veröffentlicht auf dem
Google Online Security Blog
Wir möchten, dass die Mitarbeiter von Google die Bedrohungen, denen unsere Dienste ausgesetzt sind, genau verstehen und wissen, wie sie sich vor diesen Bedrohungen schützen können. Wir arbeiten auf diese Ziele auf verschiedene Weise hin, darunter Sicherheitsschulungen für neue Ingenieure, technische Präsentationen zur Sicherheit und andere Arten von Dokumentationen. Wir verwenden auch Codelabs – interaktive Programmiertutorials, die die Teilnehmer durch spezifische Programmieraufgaben führen.
Insbesondere ein Codelab schult Entwickler in gängigen Arten von Webanwendungsschwachstellen. Ganz nach dem Motto „Es braucht einen Hacker, um einen Hacker zu fangen“, zeigt das Codelab auch, wie ein Angreifer solche Schwachstellen ausnutzen könnte.
Wir veröffentlichen dieses Codelab mit dem Titel „Web Application Exploits and Defenses“ heute in Abstimmung mit
Google Code University und
Google Labs
um Softwareentwicklern dabei zu helfen, ähnliche Fehler in ihren eigenen Anwendungen besser zu erkennen, zu beheben und zu vermeiden. Das Codelab basiert auf Gruyere, einer kleinen, aber funktionsreichen Microblogging-Anwendung, die voller Sicherheitsfehler steckt. Zu den vom Lab abgedeckten Schwachstellen gehören Cross-Site-Scripting (XSS), Cross-Site Request Forgery (XSRF) und Cross-Site Script Inclusion (XSSI) sowie Client-State-Manipulation, Path Traversal sowie AJAX- und Konfigurationsschwachstellen. Es zeigt auch, wie einfache Fehler zu Informationsabfluss, Denial-of-Service und Remotecodeausführung führen können.
Das Sprichwort „Genug Augenpaare vorausgesetzt, sind alle Fehler flach“ ist nur dann wahr, wenn die Augenpaare wissen, wonach sie suchen müssen. Zu diesem Zweck sind die Sicherheitsfehler in Gruyere echte Fehler – genau wie in vielen anderen Anwendungen. Der Quellcode von Gruyere wird unter einer Creative Commons-Lizenz veröffentlicht und steht für Whitebox-Hacking-Übungen oder in Informatikkursen zu den Themen Sicherheit, Softwareentwicklung oder allgemeine Softwareentwicklung zur Verfügung.
Um loszulegen, besuchen Sie
https://google-gruyere.appspot.com/.
Ein Dozentenhandbuch zur Verwendung des Codelabs ist jetzt verfügbar auf
Google Code University.
So setzen wir das um
We archive Search Central announcements because client questions often trace back to a change that was announced years ago. Reading the original is faster than reconstructing it from second-hand summaries.
Verwandte Leistungen