Mitternachtshacking

Und ich habe gedacht, wenn Microsoft Word mal wieder abgestürzt ist, dass es sich vermutlich um einen kleinen Bug, einen Programmierfehler oder etwas ähnliches handelt.

Nein, das ist alles ganz anders. Microsoft „versucht“ laut eines Artikels bei Computerpartner.nl (engl.) IT-Sicherheit zu erreichen, in dem Office bei einem möglichen Fehler abstürzt, wenn es nicht genau weiß was richtig ist und was nicht.

David LeBlanc, einer der Code Gurus von Microsoft hat in seinem Blog einen netten Artikel dazu geschrieben. Es gibt eine SafeInt-Klasse, die unterschiedliche Exceptions werfen kann, darunter den Programmcrash. Die Theorie dahinter ist, dass es für das Betriebssystem möglicherweise sicherer ist, einen erfolgreichen Exploit zu verhinden, wenn die Anwendung einfach nur abstürzt. Die Praxis dahinter ist, dass es für den Anwender genauso unangenehm ist, wenn wichtige Daten verloren gehen, weil die Anwendung crashed.

Für Microsofts Secure Computing Werbecampagne Initiative ist es natürlich optisch besser, wenn der Anwender bei den vielen Programmierfehlern „nur“ Daten verliert und sich kein weiteres System einem Botnet anschließt. Für den kritischen Anwender zeigt das leider nur, dass „Secure Computing“ bei Microsoft mehr mit Marketing und PR und weniger mit realer IT-Sicherheit zu tun hat. OpenOffice irgendwer?

„Google ist das wichtigste Hacker-Tool!“ Diese Aussage hört man immer wieder, besonders wenn es um die Suche von Lücken in Webservern geht. Johnny Long hat auf seiner Webseite in der Google Hacking Database eine Vielzahl von sogenannten „Googledorks“ zusammengestellt. Damit sind Suchanfragen gemeint, mit denen man sensible Daten wie Passwörter, Vulnerabilities und anderes finden kann.

Wir haben dieses Thema im April 2006 aufgegriffen und einen Abend Mitternachtshacking zu typischen Sicherheitslücken auf Webanwendungen veranstaltet. Die Inhalte decken z.B. kostengünstig Shoppen in schlecht gemachten Webshops ab, Spamversand über E-Mail-Kontaktseiten von Firmen und natürlich, wie man all das möglichst einfach und bequem per Google finden kann.

Unsere eigene Präsentation (PDF, 1200 KB) und natürlich die Originalpräsentation von Johnny Long auf der Black Hat Europe Konferenz 2005 in Amsterdam sind sehr spannend anzusehen.