Websites sind offen für Cross-Site Scripting und SQL Injection
Zu viele der weltweit verfügbaren Websites sind gefährdet durch Cross-Site Scripting und SQL Injection. Das liegt vor allem an schlecht geschriebener Software und mangelhaft aufgesetzten Plattformen. Dies ergab eine detaillierte Analyse mit automatisierter Erprobung verschiedener Angriffs-Szenarien und Methodiken mit White Box und Black Box.
Im Web Application Security Statistics Project 2007 wurden Daten von Herstellern und Betreibern weltweit zusammengetragen. Diese Datenflut ergab vor allem eins: Mehr als 7 Prozent der Websites sind akut gefährdet, wie automatisierte Untersuchungen zeigten. 7,72 Prozent zeigten bei der Untersuchung bereits, dass sie schon korrumpiert sind. das teilte die Security-Organisation WASC mit.
Schwerwiegende Sicherheitslücken kamen bei mehr als 96 Prozent der Web-Anwendungen selbst zum Vorschein. Bei dieser Untersuchung wandten die Sicherheitsforscher Black Box und White Box an, Untersuchungsmethoden, die mit einer Art Ausschlussverfahren Sicherheitsmängel feststellen können. Predictable Resource Location, SQL Injection, Informations-Lecks und Cross-Site Scripting waren die häufigsten Gefährdungen, für die die untersuchten Sites anfällig waren.
Die Untersuchung ergab, dass Datenlecks und Predictable Resource Location vor allem mit schlechter Systemadministration und mangelnder Zugangskontrolle in Verbindung gebracht werden konnten. Währenddessen lag bei den anderen Gefahren das Problem eher in den Anwendungen selbst.
Bei den untersuchten Sites konnte außerdem festgestellt werden, dass Cross-Site Scripting mit 59,26 Prozent der entdeckten Gefahren die Rangliste klar anführt. SQL Injection folgte mit 8,12 Prozent, Content Spoofing mit 5,96 Prozent, Informationslecks mit 5,90 Prozent, Predictable Resource Location mit 4,61 Prozent und auf den Plätzen folgen Gefahren wie Authentisierungsfehler und Zugangslücken. Diese Gefahren wurden von den Forschern vor allem mit möglichen Client-seitigen Angriffen in Verbindung gebracht.
