Anzeige

Anzeige

VERANSTALTUNGEN

OMX 2018
22.11.18 - 22.11.18
In Salzburg, Österreich

SEOkomm 2018
23.11.18 - 23.11.18
In Salzburg, Österreich

Blockchain Business Summit
03.12.18 - 03.12.18
In Nürnberg

Cyber Risk Convention
05.12.18 - 05.12.18
In Köln

IT-Tage 2018
10.12.18 - 13.12.18
In Frankfurt

Anzeige

Anzeige

Anzeige

Online-Tutorials sind auch bei Programmierern beliebt - was leider auch Risiken mit sich bringt. Denn mit Google leicht zu findende Tipps enthalten erschreckend oft auch Sicherheitslücken, wie eine Studie deutscher Forscher zeigt. 

Wenn Tutorial-Nutzer solche Schwachstellen direkt mit in ihre Codes übernehmen, könnte das Hackern das Leben leicht machen. Denn in Web-Anwendungen automatisiert nach Tutorial-Lücken zu suchen, ist dem Team zufolge ein geringer Aufwand.

Viele Fehler in Tutorials

Das Team hat unter anderem mit sechs einfachen Anfragen in Google nach Programmier-Tutorials gesucht und jeweils für die ersten fünf Treffer die Sicherheit des Tutorial-Codes untersucht. Das erschreckende Ergebnis: Neun der insgesamt 30 so gefundenen, wohl beliebten oder zumindest gängig genutzten Tutorials enthielten unsicheren Code, der entweder SQL-Injection- oder Cross-Site-Scripting-Angriffe ermöglicht. Das an sich wäre noch kein Problem - wenn nicht Programmierer bisweilen Code samt Lücken aus Tutorials in echte Projekte übernehmen würden.

Das kommt einer weiteren Analyse zufolge selten, aber doch vor. Von über 64.000 untersuchten PHP-Web-Apps auf GitHub enthielten 820 einen Code, mit starker Ähnlichkeit aus einem Tutorial stammt. 117 davon enthielten dabei auch entsprechende Sicherheitslücken - in einigen Fällen sogar ohne Änderung direkt aus dem Tutorial kopiert. Das ist zwar nur ein kleiner Teil, doch sind solche Fehler leicht automatisiert aufspürbar. "Angreifer mit Zugang zu einem normalen PC und einer DSL-Breitbandverbindung, können unsere Techniken nutzen, um effizient wiederkehrende Lücken in Web-Anwendungs-Code zu finden", warnen die Forscher.

Qualitätssicherung nötig

Die Studie hat sich speziell mit quelloffenen PHP-Projekten befasst. Es scheint aber durchaus denkbar, dass es ähnliche Probleme mit aus Tutorials kopierten Sicherheitsmängeln auch bei anderen Programmiersprachen gibt. Von den untersuchten Tipp-Seiten zeigen jedenfalls einige ein mangelndes Verständnis für sichere Programmiermethoden, warnen die Forscher. Die Ergebisse der Studie legen nahe, dass es "einen dringenden Bedarf für Code-Audits gängig konsumierter Tutorials gibt". Möglicherweise muss diese Prüfung so streng erfolgen wie bei tatsächlichem Produktiv-Code.

pte

 

GRID LIST
Cyber Attack

Cyberangriffe entwickeln sich zum größten Risiko für Unternehmen

Adenike Cosgrove, Cybersecurity Strategist EMEA bei Proofpoint, kommentiert: „Anfang…
5G

Bundesnetzagentur legt finale 5G-Vergabebedingungen vor

Die Bundesnetzagentur (BNetzA) hat heute ihren finalen Entscheidungsentwurf zu den…
Botnet

Mylobot-Botnetz liefert einen Doppelschlag mit Khalesi-Malware

Ein neuer Bericht von CenturyLink zeigt auf, dass das Mylobot-Botnetz nach dem Infizieren…
Senior Leadership Team

IFS verstärkt sein Senior Leadership Team

Der weltweit agierende Anbieter von Business Software IFS hat sein globales Führungsteam…
/modules/mod_raxo_allmode/tools/tb.php?src=%2Fimages%2FBilder-Aktuelles%2FEstos_ProCall6Enterprise-700.jpg&w=190&h=80&zc=1

Service Release 2 für ProCall 6 Enterprise

estos gibt das Service Release 2 für ProCall 6 Enterprise offiziell frei. Der…
Übernahme

SolarWinds erweitert nach Übernahme von 8MAN sein Portfolio

SolarWinds gibt nach der Übernahme von 8MAN heute die Einführung von SolarWinds ARM…
Smarte News aus der IT-Welt