Latest / Coding Buddies | Tech & Dev-Mindset / Big Software Fails #5 - Java, Logs und der Weg ins Chaos

Transcript

Big Software Fails #5 - Java, Logs und der Weg ins Chaos · Coding Buddies | Tech & Dev-Mindset

0:00
Die It Bedrohungslage ist extrem kritisch.
0:02
Es sind sofortige Schutzmaßnahmen umzusetzen.
0:04
Diese Sätze stammen aus einer BSI Pressemitteilung im Jahre 21
0:08
es erfolgte eine Cyber Sicherheitswarnung der Warnstufe
0:11
rot was passiert ist, das erfährst du in der heutigen
0:14
Folge Coding Buddies, Deinem Podcast rund um
0:17
Softwareentwicklung und aktueller Tech News, herzlich
0:20
Willkommen. Einen wunderschönen guten Tag
0:35
und herzlich Willkommen zur neuen Folge vom Coding Buddies
0:38
Podcast. Es gibt eine neue Folge und es
0:40
wird eine tolle Folge und bevor wir jetzt richtig starten
0:44
können, werde ich natürlich erstmal den Tino hier begrüßen.
0:46
Tino, wie geht's dir? Moin Moin Fabi, Was geht ab?
0:50
Was geht ab? Das obligatorische, Was geht ab.
0:54
Das ist die Frage, die man als erstes geklärt hat.
0:57
Und ich liebe Sie also. Aber du beantwortest sie selten,
1:01
falls es dir auffällt. Du sagst nie, was so abgeht.
1:03
Ich glaube, das ist eine rhetorische Frage, aber.
1:05
Was so abgeht. Podcast geht.
1:07
Ab und es wird eine habergeile neue Folge, weil es wird mal
1:11
wieder eine Big Fails Folge und wir haben natürlich.
1:16
Wieder einen Fall her. Das stimmt und wir haben wieder
1:18
einen spannenden Fall mitgebracht.
1:20
Aber bevor wir zu diesem fantastischen Fall der Big Fails
1:25
in der Softwareentwicklung kommen, wollte ich noch mal ganz
1:27
kurz einmal sagen, Liebe Zürin, lieber zürer, wenn du den
1:32
Podcast super cool findest und sagst, ey, ich mag die beiden
1:35
und ich möchte die gerne unterstützen, dann kannst du das
1:37
auf jeden Fall machen. Einen Link zur kleinen
1:40
Unterstützung findest du in den Shownotes guck da mal auf jeden
1:43
Fall rein und vergiss auch nicht, den Podcast zu bewerten,
1:47
so. Tino aber jetzt haben wir alles
1:51
organisatorisch abgearbeitet. Jetzt lass uns doch mal rein,
1:54
jetzt endlich loslegen, lass uns rein starten und zwar worum geht
1:59
es heute Tino, möchtest du das einmal den Fall sozusagen
2:02
vorstellen, ankündigen? Ja, und zwar haben wir uns n
2:05
Fall rausgesucht, der noch gar nicht so lange her ist und
2:09
ebenfalls wieder Millionen an Systeme betroffen waren.
2:12
Also es ist wieder nen. Nee, relativ will ich gar nicht
2:15
sagen. Es ist ein sehr großer Fall, der
2:17
auch viel Schaden erfahren verursacht hat, obwohl das
2:22
meiste dabei gar nicht bekannt ist, würde ich sagen, also ich
2:25
denke, dass da noch der echte oder tatsächliche Schaden noch
2:29
wesentlich höher ist als das was bekannt ist.
2:32
Und zwar geht es um die Sicherheitslücke, die als Log
2:35
for Shell bekannt ist aus dem Jahre 2021 also da wurde sie
2:40
entdeckt und war dann auch wirklich.
2:43
In den Nachrichten überall verbreitet.
2:45
Also das war mal wieder so n Fall, dass selbst Standard
2:49
Nachrichtensender darüber berichtet haben aus der Tech
2:52
Welt, quasi weil es halt wirklich so ne großen
2:54
Auswirkungen hatte und vor allem weil die Sicherheitslücke
2:59
wirklich simple Angriffe ermöglichte, das heißt Leute die
3:04
nicht so technisch versiert waren, selbst die konnten diese
3:07
Angriffe auf Zielsysteme fahren und das hat es auch so
3:10
unfassbar. Wie soll ich sagen, gefährlich
3:14
gemacht? Einfach ja, und das ganze würde
3:17
ich mir gerne mit dir heute anschauen.
3:19
Ich würde mir gerne anschauen was die Java Bibliothek log for
3:22
j von Apache Software Foundation, also von der
3:25
Foundation damit zu tun hat und wie überhaupt diese
3:28
Sicherheitslücke entstehen konnte und kleine Anmerkung
3:32
liebe Zuhörer, liebe Zuhörer, falls du jetzt Angst hast, dass
3:35
es zu technisch wird. Da können wir dich beruhigen.
3:38
Fahren wir nicht, während das auf sehr hoher Ebene erklären
3:41
bisschen in die Technik abdriften, damit auch die
3:44
Technik Fans was davon haben, aber wir versuchen es so gut wie
3:47
möglich allgemein zu erklären. Ja, auf jeden Fall.
3:52
Was ich super spannend fand dabei ist, dass der Bug ja auch
3:57
vom BSI sogar richtig angekündigt wurde, da gab es ne
3:59
riesen PDF Datei, dass du alles ganz genau durchlesen konntest.
4:02
Ich find es da richtig. Rot eingestuft.
4:04
Ne, ja. Genau, und ich find das ist
4:06
immer irgendwie so, n schon so n Zeichen, dass man sich so denkt.
4:09
So OK, Moment was? So Leute, jetzt ist es ernst.
4:12
Was ist da los? Aber man muss sich auch mal
4:15
überlegen, dass dieser Bug, über den wir ja gleich noch mal
4:18
sprechen und worauf wir genauer eingehen werden.
4:21
Den gab es oder die Sicherheitslücke, die gab es
4:23
seit 2013 und Ende 2021 wurde das entdeckt und jetzt sagst
4:29
hast du ja schon angekündigt, dass es ja eigentlich gar nicht
4:32
schwer ist, diesen diesen Bug oder diese Sicherheitslücke
4:35
auszunutzen und ich finde es einfach immer wieder unglaublich
4:39
krass und auch irgendwo beängstigend und auch
4:42
gleichzeitig irgendwie beeindruckend.
4:43
Ich weiß nicht, das ist alles so ein Brei.
4:46
Ja. Wie lange sowas offen ist, weißt
4:50
du. Das ist das.
4:51
Solange es nicht entdeckt wird, verursacht es ja auch keinen
4:54
Schaden. Aber sobald bekannt ist oder
4:56
sich rumspricht, wie man vielleicht eine potenzielle
4:59
Sicherheitslücke da ausnutzen kann, da wird es dann halt
5:01
gefährlich. Und das gefährliche dabei ist
5:04
ja, dass es unerkannt ist, weil meistens auch in unseren Fällen,
5:09
die wir bisher schon behandelt hatten, ist so ein fix ja
5:12
relativ schnell gemacht. Also du kannst ja schnell die
5:16
Sicherheitslücke beheben, aber du weißt einfach nicht, seit
5:18
wann sie ausgenutzt wurde und das ist halt immer das
5:21
gefährliche dabei. Genau das ist halt der Punkt.
5:23
Also wahrscheinlich gibt es immer Leute die das diese diese
5:26
Sicherheitslücke dann schon kannten und auch ausgenutzt
5:28
haben. Deswegen wie du meintest, so man
5:30
weiß halt nie wie groß der Schaden eigentlich wirklich ist.
5:33
Was ich aber auch super interessant fand war, dass
5:36
sobald dieser diese Sicherheitslücke bekannt wurde.
5:40
Auf einmal wurden halt wirklich tatsächlich ganz, ganz viele
5:43
Angriffe gefahren. Über die Sicherheitslücke
5:45
versucht zu fahren. Also das war so richtig so.
5:48
OK, das ist die Sicherheitslücke und auf einmal ging es richtig
5:50
zur Sache, dass. Immer das gefährliche dabei ist,
5:54
wenn du es bekannt gibst. Logischerweise musst du es
5:57
machen damit. Sag ich mal die Server oder die
6:01
die Inhaber sag ich mal auch die Chance haben diese
6:05
Sicherheitslücke zu fixen, musst du es ja bekannt geben, aber
6:09
gleichzeitig gibst du es ja der ganzen Welt bekannt und alle die
6:13
dann nicht sofort diese Sicherheitslücke fixen und immer
6:17
noch angreifbar sind, werden dann logischerweise auch
6:20
angegriffen und das ist halt das problematische dabei, aber.
6:24
Wie du ja schon meintest, die war jetzt ewig da, diese
6:27
Sicherheitslücke potenziell, ob sie bekannt war, weiß man nicht
6:30
und ich stell mir da immer so vor, stell dir einfach vor, so
6:33
ne kleine Hackergruppe im Untergrund, die jahrelang so
6:36
Sicherheitslücken immer ausnutzt und dann wird es bekannt gefixt
6:40
und die denken sich so, oh jetzt war es vorbei, also es wird ja
6:45
hundertprozentig Leute geben die die wirklich längerfristig
6:48
genutzt haben und das muss einfach so sein.
6:51
Definitiv. Aber springen wir doch mal ins
6:53
Jahr 21 und zwar Ende 21 gab es ja dann vermehrt Berichte über
7:00
Angriffe auf Spiele, Server und das finde ich auch so
7:02
interessant. Und zwar war das Spiel Minecraft
7:05
betroffen, weil da die Server ja oft auf Java basierten oder
7:12
immer noch basieren und es wurden Angriffe berichtet, die.
7:17
Dass es eine einfache Methode gab, um quasi diese Spieleserver
7:22
zu attackieren, indem man einfach Chat, Nachrichten,
7:27
spezielle Zeichenketten quasi, also spezielle Chat Nachrichten
7:31
im Chat postete und dadurch sensible Daten abgreifen konnte
7:35
oder auch schadhafte Software ausführen konnte auf dem Server,
7:39
was jetzt erstmal total absurd klingt.
7:42
Aber da gab es halt vermehrt Berichte, weil das natürlich
7:45
super schnell aufgefallen ist, dass da irgendwas nicht stimmt.
7:48
Und war jetzt der Spieleserver Schuld oder woran lag das?
7:52
Das wurde halt Ende 21 festgestellt und zeitgleich
7:57
haben sicherheitsvorsteller Vorsteller Sicherheitsforscher
8:02
sich mal verschiedene Java Bibliotheken zur Brust genommen
8:07
und haben festgestellt, dass Log for J.
8:13
Sicherheitslücken hat und haben die berichtet an Apache, dass
8:17
sie sich darum mal bitte kümmern sollten.
8:19
Und so hat das Ganze denn quasi seinen Lauf genommen.
8:23
Wir haben auf ein auf der einen Seite schon Mitteilungen, das
8:26
Halt so in der Spielewelt bekannt war.
8:27
Ey, da stimmt irgendwas nicht, andererseits haben wirklich die
8:31
Experten festgestellt, Hey guck mal da bei euch in eurem Package
8:35
Log for J, da stimmt was nicht. Und wie das ganze jetzt
8:39
zusammenhängt, was das mit dem Server zu tun hat und was log
8:41
for j jetzt wirklich ist. Liebe Zuhörerinnen, liebe
8:43
Zuhörer, das werden wir uns jetzt angucken und dann auf die
8:46
Sicherheitslücke kommen. Bleibt gespannt, es ist wirklich
8:49
der absolute Hammer, also fabi, Start mal.
8:52
Also was ich zuerst noch sagen muss, ist, dass ich mich auch
8:56
noch super genau dran erinnern kann, wo wir jetzt gerade im
8:59
Jahr 2021 sind, weil ich saß auf Arbeit und es war irgendein Tag
9:04
Ende des Jahres, wo dann wirklich?
9:07
Diese Nachrichten kamen, wo dann aber auch in unserer auf auf der
9:12
Arbeit halt eben auch sozusagen die Nachricht rumgingen und wir
9:14
dann auch wirklich alle gucken sollten, ob wir denn irgendwo
9:18
log 4 j benutzen, weil wir auch mit Java oder cotlin Anwendung
9:21
zu tun hatten und das ja auch eine Java Bibliothek ist.
9:25
Ne und log 4 j an sich ist ja eine Bibliothek, die eigentlich
9:29
dafür da ist oder die wirklich nicht nur eigentlich, sondern
9:32
wirklich dafür da ist Daten zu loggen, das heißt?
9:36
Du nutzt log 4 J, um einfach in deiner Server Anwendung zum
9:40
Beispiel bestimmte Events einfach in ein Log file zu
9:43
schreiben und ein Log file ist ja auch nichts anderes, als dass
9:46
du im Endeffekt eigentlich nur wissen willst.
9:48
Okay was wird denn jetzt hier also protokollierst was in
9:51
deinem Server passiert, um zum Beispiel auch herauszufinden,
9:55
läuft dann alles richtig, gibt es vielleicht irgendwelche
9:57
Probleme und so weiter und sofort und das ist ja im
10:02
Endeffekt. Eigentlich nur die Bibliothek
10:04
und jetzt kann man sich natürlich fragen, was hat denn
10:07
jetzt eine, also eine Bibliothek, die einfach nur
10:11
dokumentiert, was dein Server macht, wie kann es denn
10:15
überhaupt dazu kommen, dass man darüber sozusagen eine
10:18
Sicherheitslücke erzeugt? Und nicht irgendeine
10:21
Sicherheitslücke, sondern eine extrem krasse Sicherheitslücke,
10:25
so dass man wirklich von einer Art Remote Code Execution
10:29
sprechen kann. Das ist ja sozusagen 1 der
10:32
schwerwiegendsten Sicherheitslücken, die man
10:34
irgendwie machen kann, weil du kannst halt, du hast halt die
10:36
Möglichkeit, Code auf dem Server, also als Angreifer Code
10:40
auf dem Server auf dem Ziel Server sozusagen auszuführen,
10:44
deinen eigenen Code, das was du machen willst.
10:46
Du kannst rein theoretisch, hättest jeden Code.
10:49
Den du dir rein theoretisch, ich sag jetzt mal so vorstellen
10:51
kannst, hättest du auf dem Angreifer also angegriffenen
10:54
Server laufen lassen kann und das finde ich krass gefiltert,
10:57
ungefiltert und da muss man sich überlegen, wie heftig das ist
11:00
und man kann sich ja auch berechtigterweise fragen, wie
11:04
kann das bei einer Bibliothek passieren, die nie für
11:08
eigentlich für nichts anderes da ist, als Daten zu locken.
11:11
Ja, vor allem, da sie ja Open Source ist und so weit
11:15
verbreitet ist. Wie kann denn überhaupt ne
11:18
Sicherheitslücke da drin sein? Das ist ja auch immer so die
11:20
Frage, ne, also es ist sag ich mal der ganzen Welt verstreut,
11:24
alle locken ihre Events und Daten mit Log 4 J nicht alle
11:29
aber sehr vieles ist wirklich weit verbreitet und auf einmal
11:33
fällt das auf das das das spielt ja wieder in die Karten zu sagen
11:37
ey das ist so lange schon drin, wer weiß was da alles mit
11:41
passiert ist ne? Und die Frage ist, wie kann das
11:44
jetzt passieren? Das ist ja genau die richtige
11:47
Frage, die du gerade gestellt hast.
11:48
Jetzt hat n Server Log for J verwendet, also die Entwickler
11:51
verwenden das und sagen zum Beispiel gehen wir noch mal auf
11:54
den Spieleserver ein, weil das so n so n einfaches Beispiel
11:58
ist, wo niemand sich was Böses bei denkt.
12:01
Und jetzt habe ich nämlich zum Beispiel Log for J auf meinem
12:04
Server um zu locken, welche Chatnachrichten reinkommen und
12:08
da möchte ich zum Beispiel loggen um. 14:38 Uhr hat User
12:17
Fabi 1234 geschrieben. Hey.
12:20
Leute, ich mein Usernamen Link. Hat geschrieben Hey Leute, ich
12:26
hab richtig Lust auf ne Runde Minecraft so das wäre jetzt so n
12:29
log du hast die Uhrzeit, du hast gelockt wer das geschrieben hat
12:33
fabi 1234 noch mal kurz sein Username und die Nachricht.
12:37
Also das macht ja Sinn sowas zu loggen für dein System, damit du
12:40
weißt was passiert auf deinem Spieleserver und wie es zum
12:44
Beispiel auch die Auslastung, das sind ja alles so Punkte,
12:46
warum man Logs erzeugt, am Ende genau und genau da ist nämlich
12:51
auch eine Funktionalität drin, was ich gerade erklärt habe, die
12:54
am Ende auch entscheidend für die Sicherheitslücke war und
12:58
zwar geht es darum, dass du in diesen Logs dynamisch Inhalte
13:04
anzeigen möchtest oder Laden möchtest.
13:06
Weil gehen wir von dem Chat aus. Du hast hier 2030 Leute da drin
13:11
und die chatten miteinander, dann soll ja nicht bei jedem Log
13:14
stehen 14:38 Uhr, fabi 1234 und dann die Nachricht, sondern du
13:19
möchtest ja zum Beispiel ne aktuelle Uhrzeit anzeigen, du
13:23
möchtest den richtigen Usernamen anzeigen und das sind so
13:26
dynamische Inhalte in vorgefertigten Log Nachrichten
13:31
oder dann halt zum Beispiel auch die die Chat Message, die ich
13:34
vorhin genannt hatte. Die du quasi ersetzen möchtest.
13:37
Du möchtest dann in diesen vorgefertigten Nachrichten diese
13:40
dynamische Inhalte wie username Uhrzeit einfügen und das Ganze
13:45
als Notiz, sozusagen als log speichern, damit man weiß, um
13:49
14:38 Uhr hat fabi 1234 folgendes geschrieben.
13:53
Wenn ich das jetzt 5 Tage später mir den log angucke.
13:56
Und für diese Funktionalität, weil wir ja gesagt haben, das
13:59
war in so n Server auf Java basierend und Log for J ist auch
14:03
eine Java Bibliothek, wurde genauso eine Java Funktionalität
14:07
verwendet und zwar die JNTI. Wenn ich jetzt ich bin aber bei
14:12
Abkürzung, das ist quasi Java Naming Directory Interface,
14:18
magst du mal drauf eingehen was das am Ende macht oder wofür das
14:23
sorgt? Genau also im Endeffekt, wie du
14:26
schon meintest. Du hast also Jndi ist an sich ja
14:31
eigentlich nur ein Interface, was dafür da ist, sozusagen oder
14:35
was ein Protokoll verwendet um zu kommunizieren um sozusagen
14:42
irgendwo Daten herzubekommen, die halt genau diese diese
14:46
dynamischen Daten, die du brauchst.
14:48
Und du kannst halt im Endeffekt. Jndi verwenden also, das ist
14:53
sozusagen also Jndi ist ein Vermittler, kann man sich so
14:56
vorstellen, der die Anfrage interpretiert, zum Beispiel, das
14:59
ist fabi 1234 und du willst jetzt zum Beispiel Daten noch
15:03
weitere Daten über diesen User haben und diese Anfrage wird
15:07
dann interpretiert und weitergeleitet dahin, wo du halt
15:10
eben diese Daten über, ich nenne es jetzt mal diesen diesen
15:14
Schlüssel fabi 1234 herbekommst und da.
15:18
Kannst du dann im Endeffekt über ein bestimmtes Protokoll
15:21
kommunizieren, an einen externen Server zum Beispiel?
15:25
Das heißt, du holst dir deine Daten von irgendwo her und auf
15:28
irgendeinem Server sage ich jetzt mal, liegen irgendwelche
15:30
Daten wie zum Beispiel eine Datenbank, wo du dir deine Daten
15:33
am Ende her holst und das Ganze passiert dann zum Beispiel über
15:39
einen sogenannten Adap Server so und ein adap Server ist.
15:43
Bisschen ähnlich wie zum Beispiel ne Art Adressbuch, wo
15:47
irgendwelche Daten hinterlegt sind.
15:48
Das heißt du kannst da irgendwo nachschlagen, kannst sagen, ich
15:50
möchte jetzt von diesem adap Server bestimmte Daten haben und
15:55
sagst gehst dann hin und sagst Ich möchte Daten für Fabian 1234
15:58
haben und dann kriegst du diese Daten wieder zurück und dann
16:01
kannst du halt mit diesen Daten arbeiten und sagen OK hier.
16:04
Fabian 124 der echte Name ist das und das und keine Ahnung,
16:08
was auch immer dann sozusagen gelockt werden muss.
16:10
Also du kannst dann sozusagen bestimmte Daten aus diesen
16:14
Daten, aus diesem Datenpaket, was du vom Lda Server
16:16
Zurückbekommst oder von deinem Adressbuch sozusagen
16:19
zurückbekommst, kannst du dann verwenden und genau im Endeffekt
16:24
kriegst du aber, und das ist jetzt so eine Java Eigenheit, du
16:26
kriegst halt eine Java Klasse, also so ein Java klassenpaket.
16:31
Kannst du halt von diesem Adapt Server bekommen und kannst dann
16:34
im Endeffekt sozusagen diesen diese Klasse mit dem Java zum
16:38
Java Class loader kannst du dann sozusagen laden und halt eben
16:41
auch Daten abgreifen beziehungsweise Code ausführen.
16:45
So, und das ist jetzt eigentlich genau der Knackpunkt, weil du
16:50
kannst. Das fand ich auch so
16:52
interessant, weil es wurde halt nicht davon ausgegangen und.
16:56
Was man am Ende sozusagen damit machen kann, also mit dieser
17:00
Funktionalität, weil im Endeffekt um das ganze kurz
17:03
zusammenzufassen, hast du eine Möglichkeit, um ein Place Holder
17:08
in deinen in deine Log Nachricht reinzuschreiben und dieser Place
17:12
Holder ersetzt dann am Ende Daten beziehungsweise da wird
17:17
etwas ersetzt, was am Ende da reinkommt und das was da
17:20
reinkommt kann halt eine aus ein auszuführender Code Baustein
17:25
sein und. Und dann kannst du halt im
17:27
Endeffekt sagen, okay, du hast eine Log Nachricht und da
17:30
ersetze mir mal was. Das heißt dein Log for J
17:33
Bibliothek macht nichts anderes als den Adap Server anzufragen,
17:37
also dein Adressbuch und dir irgendwelche Daten aus diesem
17:39
Adressbuch rauszuholen und diese Daten dann dort einzusetzen, was
17:43
zum Beispiel Daten sein können, was zum Beispiel Code sein kann,
17:46
der ausgeführt wird und mit diesem Code der ausgeführt wird
17:50
an dieser Stelle, damit wurde irgendwie nicht so richtig
17:53
gerechnet. Genau weil wie du gesagt hast,
17:55
dass der Java Class loader Halt einfach diese Referenz auch lädt
17:59
und erzeugt. Und dann wird es halt ausgeführt
18:01
und man geht natürlich nie von was bösem aus.
18:06
Deswegen war es ja grundsätzlich, oder ist es ja
18:08
grundsätzlich cool, dass das JDNIJNDI so quasi auch die
18:16
Möglichkeit hat oder Protokolle implementiert hat, wie zum
18:19
Beispiel das LDAP. Auch externe Server Anfragen zu
18:22
können für Daten diese zu bekommen und dann in den Logs
18:25
einzutragen. Problem ist halt dieser Aspekt,
18:29
dass quasi diese Java Referenzen durch den Class Loader geladen
18:33
werden und halt auch ausgeführt werden und da hat man ist man
18:36
halt einfach von nichts schlimm ausgegangen, man hat gesagt ist
18:38
doch cool, dann kann ich mir von einem externen Server noch Daten
18:40
holen die ich da loggen will wie du ja so schön meintest, ich
18:42
habe mein Place Place holder 123 Entschuldigung place holder.
18:48
Und möchte da einfach nur dynamisch die Daten dann
18:51
eintragen. Ich meine ich habe da nichts
18:52
Böses im Sinn, das ist ja nur ein log, genau so was du jetzt
18:56
aber machen kannst innerhalb diesem Placeholder und das ist
18:59
jetzt auch der Knackpunkt, du kannst auch angeben von welchem
19:03
Server du das haben möchtest. Du kannst halt wirklich explizit
19:07
sagen Log for j. Hier ist eine Log Nachricht und
19:13
da drin ist ein Place holder wo drin steht.
19:15
Ich möchte, dass ein LDAP Server angefragt wird mit der folgenden
19:19
Adresse und du gibst sogar die Server Adresse an mit Port und
19:23
allem und gibst auch an welche Daten du haben möchtest.
19:27
Also quasi einfach gesagt welcher Code geladen werden soll
19:33
am Ende und das wurde ungefiltert durchgelassen, das
19:38
heißt? JNDI hat gesagt, OK, ich guck
19:43
nach lookup, ja OK, ich hab hier das und das ldap OK Adresse
19:48
frage ich an AE Server XY hier unser berühmter Server 5 hinten
19:54
rechts in der Ecke der Böse der wird angefragt hast du hier die
19:57
Daten? Ich brauch mal Schadpaket ABC
20:01
und er sagt Hey kein Problem hier bitte hast du.
20:04
Das wird geladen, wird noch in den Log da eingetragen, spielt
20:08
aber keine Rolle, weil der Code schon ausgeführt wird.
20:10
Genau. So, und dann wird dieses
20:12
schadhafte Code Paket auf deinem Server auf dem Zielsystem
20:16
ausgeführt und das kann halt alles Mögliche sein.
20:19
Wir können ja später noch auf so Fälle eingehen, die bekannt
20:22
wurden, was damit so getrieben wurde, aber das ist am Ende
20:25
jetzt die Sicherheitslücke und die ist Easy und du kannst die
20:28
Trägern beispielsweise durch ein Chat Fenster auf einem Spiel
20:32
Server. Indem du einfach genauso eine
20:35
Nachricht absetzt. Und dann wird auf dem
20:37
Spieleserver genau das ausgeführt und so konntest du
20:41
zum Beispiel auch irgendwelche Hacks ausführen für Spiele ne,
20:45
also das ist ja jetzt noch so der geringste Schaden, dass du
20:48
in einem Spiel manipulierst dadurch oder oder betrügst sagen
20:52
wir es mal. So, und das war ja auch zum
20:54
Beispiel nicht nur, also wir haben jetzt zum Beispiel n
20:55
Spieleserver als Beispiel genannt, aber du kannst ja auch.
20:58
Angenommen du hast zum Beispiel eine Anmeldemaske von einem
21:00
beliebigen Service, wo du irgendwie dich anmeldest.
21:04
Kennt man ja Username Passwort und los geht's.
21:07
Und wenn du jetzt zum Beispiel hingehst irgendeinem Service, wo
21:10
du vielleicht auch sehr, sehr sensible Daten hast und dieser
21:13
Server läuft am Ende auch wieder auf Java und nutzt Log 4 J, ist
21:16
natürlich die Voraussetzung dafür, das weißt du als
21:19
Angreifer nicht, aber du kannst halt gucken, dass du das, also
21:23
dass du das herausfindest. Und dann könntest du zum
21:25
Beispiel genauso nicht jetzt zum Beispiel bei einem Chatfenster,
21:29
sondern einfach über die Anmeldemaske sagen, OK, ich bin
21:32
Tino 1234 sorry, dass ich jetzt deinen Usernamen liegt.
21:37
Nee, das. Ist nur ist nur fair ist nur.
21:39
Fair, nicht Leute. Und dann hast du und jetzt kommt
21:44
nämlich auch wieder der Knackpunkt und dann schreibst du
21:46
halt genau diesen diesen JNDI Befehl mit diesem Lookup zu
21:50
diesem. Adap Server schreibst du in den
21:53
Usernamen mit rein und das wird dann quasi genauso wie es da ist
21:56
gelockt unter Umständen, das muss man herausfinden, das war
22:00
sozusagen die Schwierigkeit dabei.
22:02
Am Ende können wir noch mal ein bisschen genauer darauf
22:04
eingehen, dass du dann im Endeffekt dich versuchst, damit
22:06
einzuloggen und der Effekt ist, dass die anmeldemaske dir sagt,
22:10
es tut uns leid, aber Username und Passwort, irgendwas stimmt
22:13
da nicht, was aber under the Hood passiert ist, ist, dass
22:16
dieser. Befehl, den du in deinen
22:18
Usernamen eingegeben hast, aber am Ende durch das Log for J
22:22
Package ausgeführt wurde beziehungsweise wurde, dass
22:26
dieser String ja nicht ausgeführt, sondern der String
22:29
wurde angeschaut gesagt, OK, hier ist ein Placeholder, da ist
22:32
ein JNDI Befehl drin, jetzt muss ich mir aber die Daten von dem
22:35
entsprechenden Server holen und dieser Server auch wieder ein
22:38
Knackpunkt, der muss natürlich vom Angreifer aufgesetzt worden
22:41
sein und dann muss der Angreifer genau für diesen Befehl der da
22:45
drin steht in diesem. Befehl in diesem in diesem J and
22:48
I Befehl muss natürlich genau dafür eine bestimmte eine
22:52
bestimmte Java Exploit Klasse hinterlegt sein.
22:55
Ne die dann geladen wird und dann ausgeführt wird und das ist
22:59
halt krass. Das heißt im Endeffekt musst du
23:01
nichts anderes machen als einen String irgendwie ins System zu
23:05
schleusen, zu überprüfen, also zu gucken, OK hoffentlich wird
23:08
das an der Stelle gelockt und dann halt noch deinen Server
23:13
aufzusetzen der von dem dann die Daten.
23:16
Am Ende geholt wurden. So und dann hast du eigentlich
23:19
schon die Sicherheitslücke ausgenutzt.
23:22
Genau, ich finde, das ist auch ein gutes Beispiel, weil die
23:24
Wahrscheinlichkeit sehr hoch ist, dass ein Error gelockt
23:26
wird, wenn der locker nicht funktioniert.
23:30
Das heißt, du gibst da halt wirklich bei Username.
23:33
Dein schadhaften, deine schadhafte Zeichenkette ein, was
23:37
du quasi ausführen möchtest, hatten wir ja vorhin gesagt, da
23:40
schreibst du halt rein. Ich möchte bitte L darb auf
23:43
folgenden Server gehen und schadhaft Software ABC ich weiß
23:47
nicht mehr wie. Ich es genannt.
23:49
Hab das bitte ausführen oder lan bekommen, die Daten ne und bei
23:54
Passwort gibst du irgendwas ein. Du willst dich ja auch nicht
23:56
einloggen, wäre jetzt irgendwie witzig wenn du damit dich
23:58
einloggen könntest. Aber.
24:00
Das passiert natürlich nicht, aber es wird sehr wahrscheinlich
24:03
in Error gelockt und dementsprechend ist diese ganze
24:06
Kette, wie du ja schon so schön sagtest, angetriggert und was am
24:10
Ende dann passieren kann mit meinen schadhaften Code ist,
24:13
dass ich mir echte Login Daten rausziehen könnte und dann quasi
24:18
mein schadhafter Code wieder nach Hause telefoniert mit
24:21
abgegriffenen Daten, also da oder oder einfach alle möglichen
24:25
Sachen auf dem Zielsystem installieren, öffnen, wie auch
24:28
immer. Du bist ja dann wirklich auf dem
24:31
System und kannst dementsprechend auch agieren.
24:34
Das krasse ist halt das gefährliche dabei.
24:36
Genau, du hast ja rein theoretisch die Möglichkeit über
24:38
ne ja innerhalb einer Java Klasse, zum Beispiel.
24:41
Wenn du also diese klasse Ausführst, so diesen Code dieser
24:44
Java Klasse ausführst, hast du ja die Möglichkeit zum Beispiel
24:46
auch einfach Command Befehle in diese Java Klasse einzubetten
24:49
und zu sagen, führe diese Command Befehle aus, was ja im
24:52
Endeffekt. Durchaus zum Beispiel dazu
24:54
führen kann, dass du halt wirklich auch n Remote Zugriff,
24:57
also ne interaktive Shell sag ich jetzt mal zu diesem Rechner
25:02
aufbauen kannst und dann interaktiv auf diesem Server
25:05
arbeiten kannst. Nur mal als mal das.
25:07
Ist so schön, weil deswegen ist es auch als Log for Shell in die
25:10
Geschichte eingegangen, weil genau das ist halt möglich damit
25:13
genau, und das zeigt halt auch, wie gefährlich das Ganze war.
25:17
Ja, und das finde ich halt auch super krass.
25:19
Also das also das ist, das ist eine Sache, die kann man sich
25:22
eigentlich gar nicht vorstellen, weil du weißt nichts davon und
25:25
jemand anderes hat Zugriff auf deinen Rechner sozusagen, und
25:29
das ist richtig krass, also so eine kleine Analogie, die finde
25:32
ich irgendwie ganz interessant, wenn man sich das jetzt
25:34
vielleicht noch nicht so richtig vorstellen konnte, wie das so
25:37
passiert. Angenommen, Liebe Zora, Liebe
25:39
Zora, Du gehst jetzt zum Beispiel in ein Hotel rein und
25:41
möchtest dich zum Beispiel da anmelden, dann hast du.
25:45
Am Ende zum Beispiel die Rezeptionistin oder den
25:47
Rezeptionist. Der steht da und nimmt sozusagen
25:49
deine Anfrage auf. Du sagst, ich möchte gern n
25:52
Zimmer haben und das soll gerne mit einem Doppelbett sein und
25:57
bitte machen Sie auch ne Suite draus.
25:59
Ich hab heute n ganz besonderen Abend, ich muss was feiern,
26:03
keine Ahnung. Und dann wird das ja natürlich
26:05
irgendwo niedergeschrieben. Das heißt ne, die
26:07
Rezeptionistin, der Rezeptionist ist dann irgendwo sozusagen
26:10
diese Log for j und schreibt die Sachen irgendwie auf, wird
26:12
irgendwie dokumentiert, es wird gesagt, OK, Kunde XY möchte
26:16
gerne das und das und das haben und dann kann es halt natürlich
26:18
auch noch sein, dass du vielleicht noch bestimmte andere
26:20
Wünsche hast, wie zum Beispiel, bitte tragen sie auch noch
26:24
meine. Sachen hoch und die
26:26
Rezeptionistin sagt Okay schreibe ich auf, gebe ich an
26:29
einen Mitarbeiter oder Mitarbeiterin hier weiter.
26:32
Das wird für sie gemacht, Ihre Sachen werden hochgetragen,
26:34
könnten sie vielleicht auch noch eine Flasche Sekt schon mal kalt
26:36
stellen und aufs Zimmer bringen? Ja machen wir auch, sondern wird
26:39
im Endeffekt viele. Wünsche immer.
26:41
Jetzt bin ich und dann hast du ja im Endeffekt den.
26:46
Also der Effekt ist, dass die Rezeptionistin oder der
26:49
Rezeptionist sagt Okay passt auf ich.
26:52
Source, das sozusagen aus und gebe diese Aufgaben an jemand
26:55
anderen weiter. Ne so und jetzt ist der
26:59
Knackpunkt an der Geschichte, dass du rein theoretisch selber
27:03
bestimmen könntest, wer diese Dinge ausführt.
27:06
Das heißt, du könntest jetzt zum Beispiel sagen, ich möchte aber
27:09
gerne, dass zum Beispiel mein Kumpel das aus, also diese
27:12
Aufgabe erfüllt und zum Beispiel aber auch auf Zimmer 5 und nicht
27:17
Zimmer 6. Also wenn ich jetzt zum Beispiel
27:18
Zimmer 5 nicht hätte, aber Zimmer 6 gebucht hätte, dann
27:21
könnte ich der Rezeptionistin sagen, schreiben Sie bitte auf,
27:24
dass Kumpel von Fabian 1234 zum Beispiel.
27:30
Irgendwas bestimmtes auf Zimmer 6 bringt so und er würde dann
27:34
autorisiert sein das auf Zimmer 6 zu bringen, obwohl Zimmer 6
27:38
eigentlich gar keinen Zugriff sozusagen.
27:40
Er ist gar nicht autorisiert in dieses Zimmer zu gehen.
27:43
Ja, geben Sie ihm einfach eine Schlüsselkarte für Zimmer 6.
27:46
Genau, und das wurde halt 0,0 geprüft und das ist halt das
27:49
interessante, weil dieser entsprechende Mensch konnte
27:53
natürlich dann. In Zimmer 6 gehen und alles
27:56
rausholen was er wollte, obwohl eigentlich gar keine
27:58
Zugriffsberechtigung dafür da war und so kann man sich das
28:01
ungefähr vorstellen und dass das nicht gut ist, kann man sich
28:05
vielleicht auch relativ schnell vorstellen.
28:08
Also da ist halt denn der Menschenverstand noch dazwischen
28:11
zwischen Angreifer und Opfer, sage ich mal in dem Zimmer in
28:17
dem Zimmer, also in dem Zimmer 6 dann wahrscheinlich das heißt.
28:22
An der Rezeption werden sich die Leute wahrscheinlich denken,
28:24
nein, warum so? Nein, machen wir nicht, aber
28:29
wenn du das natürlich ungefiltert durchlässt und das
28:32
einfach so abgearbeitet wird, so wie es jetzt hier bei Log 4 J
28:36
der Fall war, dann wird es halt richtig gefährlich und wir
28:40
können ja immer noch so auf andere Fälle eingehen, was ich
28:43
halt auch super spannend fand ist als das rauskam gab es auch
28:47
Berichte, Mutmaßungen, aber auch Berichte also.
28:51
Immer mit Vorsicht genießen, aber ich fand es halt krass,
28:54
dass Staaten wollen jetzt auch nicht explizit welche benennen,
28:58
aber sofort angefangen haben, das für Spionagezwecke zu
29:01
nutzen. Das heißt, es wurden wieder
29:03
indirekte Angriffe auf andere Länder gefahren im Sinne von der
29:07
Spionage und das finde ich halt so krass, also man erkennt quasi
29:11
die Sicherheitslücke und sozusagen die Chance Daten
29:14
abzugreifen und es wird auch direkt ausgenutzt.
29:17
Genauso gab es verschiedene Hackergruppen.
29:20
Die diese Sicherheitslücke genutzt haben, um im
29:23
Kryptobereich meiner zu instanziieren auf Zielsystem,
29:29
das quasi unentdeckt gemeint wurde, für verschiedene
29:32
Kryptowährungen. Das find ich halt auch, ist auch
29:35
so n super krasser Punkt einfach der dafür genutzt wurde, weil du
29:38
halt wirklich Code ausführen konntest was du wolltest.
29:43
Und deswegen wurde auch. Ja, man kann sie jetzt
29:46
hinstellen und sagen, ja gut, dann wird halt da irgendwas
29:48
gemeint. Auf meinem Rechner ist ja nicht
29:50
so schlimm, passiert ja nichts Schlimmes auf meinem Rechner,
29:52
aber ich meine du hast am Ende arbeitet ja dein Rechner für
29:55
jemand anderen, also ne unabhängig was er da tut und du
30:00
hast natürlich auch noch Stromverbrauch also klar kann
30:02
man sie jetzt vielleicht hinstellen, so ist jetzt so
30:04
schlimm ist das jetzt nicht, aber also Alter es ist falsch.
30:07
Du hast halt Zugriff auf sämtliche Systeme.
30:09
Dadurch erlangt ne. Und ich find es halt auch so
30:13
spannend. Ich hab mich zum Beispiel
30:14
gefragt, warum gerade eldaab als Protokoll JDNA hat ja auch die
30:21
JNDA meine Güte, ich jedes Mal ne jedes Mal, hat ja auch andere
30:27
Protokolle implementiert, du könntest ja auch zum Beispiel
30:29
ganz normal über HTTP. Calls sind aber die werden halt
30:33
oft denn einfach gefiltert oder sind eingeschränkt in der
30:36
Nutzung. Und LDA ist halt einfach zu
30:38
verwenden. Es ist auch simpel so einen
30:40
schadhaften Lda Server aufzusetzen, du musst da nicht
30:43
viel konfigurieren oder so, du kannst einfach sagen hey wenn
30:46
die Anfrage hier reinkommt, dann leite ich halt hier zu meinem
30:49
schadhaften Code weiter, liefert das aus die Referenz und fertig
30:54
das war es schon, das heißt das konnte man halt wirklich auch
30:57
schnell umsetzen. Weil dieses Protokoll adap so
31:01
Leichtgewichtig. Ist das.
31:03
Heißt was eigentlich, was der Vorteil dabei ist, war hier
31:06
absolut der Nachteil, weil es so einfach ausgenutzt werden konnte
31:09
und dass er nicht mal Schuld des Protokolls ist an der Stelle.
31:12
Das Interessante ist, du kannst rein theoretisch diese
31:14
Sicherheitslücke auch relativ einfach nachstellen und du
31:18
brauchst auch nicht viel Code dafür, also kannst rein
31:21
theoretisch um es auszuprobieren, brauchst du
31:23
sozusagen diesen adap Server mit dem mit dem Code.
31:27
Der da hinterlegt so diese Java Klasse und du brauchst halt
31:31
irgendwie ein sagen wir mal einen Server der dann sozusagen
31:35
log 4 J nutzt Wichtigerweise dabei auch ist zu sagen, dass es
31:38
natürlich eine bestimmte Log 4 j Version sein muss, weil diese
31:42
Log 4 j, also diese Sicherheitslücke wurde dann
31:46
natürlich als es aufgetreten ist gefixt und gepatcht mit der
31:50
Version 2 Punkt 15 und. Und vorher wurde es halt.
31:54
Oder war es halt möglich, die Sicherheitslücke auszunutzen,
31:58
ja. Aber das war sehr viele
32:00
Versionen lang möglich. Genau also die
32:02
Wahrscheinlichkeit. Ist halt groß, dass viele Server
32:04
sich nicht sofort geupdatet haben in der Log 4 j Version
32:08
deswegen weil du anfangs meintest, du kannst dich noch
32:10
erinnern, wie da der Aufschrei war auf Arbeit kann ich mich
32:13
auch dran erinnern bei meiner Arbeit damals aber.
32:16
Deswegen war ja der Aufschrei da.
32:18
Guckt bitte nach, wir müssen das updaten, wenn das irgendwo so
32:22
unerkannt auf alter Version bleibt, dann haben wir halt echt
32:25
n Problem und es sind 100 pro lange viele Server auf dieser
32:29
alten Version hängen geblieben. Ja, ja, das ist halt das, das
32:33
Halt das krasse, also man man sagt man, man weiß nicht genau,
32:37
ob dieses ob dieser Fehler schon immer drin war oder erst ab
32:40
einer bestimmten Version, aber definitiv in der Version 2 Punkt
32:44
14. Davor sehr wahrscheinlich auch.
32:48
Und aber wie gesagt ab der Version 215 wurde das dann mehr
32:53
oder weniger gefixt. Ich glaube ab der Version 216
32:56
oder so gab es dann gar nicht mehr diese jndi Funktionalität,
33:01
die wurde da komplett rausgenommen, wenn ich da
33:02
richtig informiert bin, aber. Das ist einfach schon gut.
33:07
Dazu stimmt zu sagen updated. Auf 215 war ja damals so der
33:13
Fix, das heißt, alle Betroffene mit ihren Servern oder wo auch
33:17
immer sie diese Log 4 j verwendet haben, konnten im
33:21
Prinzip durch einen Software Update oder beziehungsweise
33:25
Library Update das fixen auf ihrer Seite.
33:28
Das heißt wie kann man sowas verhindern.
33:30
Ey bleibt aktuell wenn irgendwelche Sicherheitspatches
33:33
rauskommen. Installiert sie auch, verwendet
33:36
sie auch. Es ist super bequem auf alten
33:38
Versionen zu bleiben, das kennen wir selbst und auch wir selbst
33:41
machen das, das passiert, aber es ist halt immer ratsam,
33:45
wirklich aktuell zu bleiben, gerade wenn sowas mal wieder
33:48
auftritt und wie gesagt, Ende 21 ist noch nicht lange her, das
33:52
ist auf jeden Fall n wichtiger Punkt was ich hätte man Zweiter
33:55
verhindern können. Genau da wollte ich gerade drauf
33:57
eingehen, weil ich fand das auch interessant, weil es wurde ja
33:59
erstmal unglaublich krass gehypt.
34:01
Bei uns zum Beispiel. Also ich hab das halt wie
34:03
gesagt, du meinst. Ich auch am Anfang gesagt hab,
34:05
ich hab es ja echt richtig erfahren, dass da auch Druck
34:08
drauf kam auf das ganze und das interessante dabei ist und ich
34:14
find das ist ja manchmal auch NN wichtiger Punkt, dass man nicht
34:18
sofort völlig die Nerven verliert, weil man hat ja
34:23
manchmal gibt es Bibliotheken die man nutzt, wo man um eine
34:28
Sicherheitslücke nicht drumherum kommt, wenn man sie nicht
34:31
patcht. Wenn man sie nicht updatet.
34:33
In dem Fall war es aber nicht zwangsläufig so, dass das Ganze
34:37
auch wirklich passiert ist. Es gab 2 verschiedene Sachen,
34:40
einmal, wenn du sie nicht verwendet hast, diese
34:42
Bibliothek, dann konnte es auch nicht passieren.
34:45
Wichtig dabei ist, dass diese Bibliothek aber auch nicht
34:47
versteckt in anderen Bibliotheken war und da quasi
34:50
verwendet wurde, das war ein wichtiger Punkt, den man checken
34:53
musste, aber wenn du zum Beispiel diese Bibliothek nicht
34:55
verwendet hast, dann. Dann konnte es natürlich nicht
34:57
auftreten und genauso. Das ist zum Beispiel auch noch
35:01
ein Fall, nur weil diese Sicherheitslücke da war, heißt
35:04
das noch lange nicht, dass sie ausgenutzt werden konnte, weil
35:07
beispielsweise, wenn du zum Beispiel deinen Usernamen
35:10
Lockst, mit diesem Beispiel, was ich vorhin meinte bei der
35:12
Anmeldemaske und du aber zum Beispiel, und ich weiß, die
35:15
Leute lieben es, Rex nutzt zum Beispiel, um deinen Usernamen zu
35:19
validieren, ob er überhaupt valide ist oder nicht, es kann
35:23
ja zum Beispiel sein, dass du beispielsweise.
35:26
Wenn du angenommen, du hast einen Usernamen oder so, musst
35:29
du ja nicht zwangsläufig in deinem Usernamen geschweifte
35:31
klammern, sage ich jetzt mal zulassen, um zumindest mal eine
35:37
gewisse Sicherheit reinzubringen.
35:39
Du hast natürlich da noch die Möglichkeit das Ganze zu
35:41
entkrypten und so weiter ne, also es gibt noch Möglichkeiten
35:43
daran trotzdem vorbei zu Schiffen.
35:46
Aber es ist halt eben die Frage, wie validierst du deine Daten,
35:51
um zum Beispiel überhaupt zuzulassen, dass du diesen diese
35:54
diese Möglichkeit überhaupt zulässt.
35:56
Dass genau dieser String dann geloggt wird am Ende ne, das ist
35:59
halt der Punkt. Das ist natürlich auch
36:01
schwierig, wenn du dann am Ende wieder n Lock hast.
36:03
Username is not valid und dann schreibst du den Username da
36:06
rein oder so, dann hast du mich genau das gleiche erreicht am
36:09
Ende, aber ich weiß worauf du hinaus möchtest.
36:11
Du kannst natürlich auf Implementierungs auf deiner
36:13
Implementierungsseite. Schon Sicherheitsmechanismen
36:18
integrieren aber sagen wir mal so, man geht nicht davon aus,
36:23
dass wenn ich was logge so was Schlimmes passieren kann.
36:25
Deswegen keine Schande, wenn Leute das nicht abgefangen
36:29
haben, sondern gesagt haben, ey, ich logge jetzt einfach, dass
36:31
das nicht geht, ne definitiv also was ich halt interessant
36:34
finde ist, dass Log for J standardmäßig einfach dieses
36:38
JNDA aktiviert hatte. Du kannst es auch abschalten.
36:42
Du kannst auch sagen, ich möchte das gar nicht machen.
36:43
Diese lookup Funktion wäre der erste Punkt, also finde ich,
36:48
dass man so was standardmäßig auch deaktivieren könnte.
36:50
Der nächste Punkt ist, dass natürlich in J NDA selbst
36:54
überhaupt nicht gefiltert wurde, was da eigentlich angefragt
36:57
wird, das finde ich halt auch krass, also das wäre eigentlich
37:00
die erste Instanz so was quasi zu überprüfen.
37:05
Also du hattest jetzt eigentlich mehrere Stufen, sage ich mal.
37:10
Wo man hätte es verhindern können, also auch als alle haben
37:13
es aber nicht getan am Ende und das finde ich halt krass.
37:16
Was zum Beispiel es? Ist ja wieder ne Verkettung am
37:18
Ende wie bei allen Big Fails die wir hatten ne Verkettung von
37:21
verschiedenen, in diesem Fall Funktionalitäten und Libraries,
37:25
die aber im gesamten so eine krasse Sicherheitslücke
37:29
aufgemacht haben. Und was ich zum Beispiel auch
37:31
sehr, sehr interessant finde, und ich glaube, das ist auch ne
37:33
Sache, die generell. Damals, aber auch heute noch
37:37
sehr stiefmütterlich behandelt wird, ist zum Beispiel Firewall
37:40
Konfiguration, weil man muss natürlich davon ausgehen, dass
37:43
am Ende hast du ja über diesen Lookup an diesen Lda Server
37:48
irgendwo eine Kommunikation, die irgendwo hingeht, die du ja rein
37:53
theoretisch mit einer richtigen Firewall Konfiguration
37:56
eigentlich von Default auch sowieso blocken solltest, weil
37:59
du in einer schönen heilen Welt. Konfigurierst du ja eigentlich
38:04
dein System so, dass du sagst, da darf ich hin, da darf ich
38:07
nicht hin, weil wir haben ja vielleicht sehr, sehr sensible
38:10
und wichtige Informationen und Daten auf unserem System und
38:14
deswegen sollte man gucken, dass man da nicht irgendwie solche
38:16
Sachen zulässt. Und da sollten auch nicht
38:18
irgendwie aus Versehen irgendwelche Kommunikation in
38:22
irgendwo hingehen, wo wir es gar nicht erlauben ne, also das wäre
38:24
auf jeden Fall auch ein sehr, sehr wichtiger und also
38:27
wichtiger Punkt, den man hätte machen können.
38:30
Einfach schon präventiv, egal ob man diese Library benutzt oder
38:34
nicht. Einfach generell, aber
38:37
erfahrungsgemäß wird das so nicht immer umgesetzt.
38:43
Ich habe noch einen Punkt, bevor die Folge abschließen können,
38:46
weil ich finde, wir haben es jetzt schon wieder sehr
38:47
ausführlich besprochen. Ist halt auch einfach ein
38:49
spannendes Thema, aber was mir auch wieder gezeigt hat, was
38:54
geht eigentlich bei Menschen ab? Das also ich frage mich immer,
38:59
wie komme ich auf die Idee oder warum habe ich so eine böse
39:01
Intention dahinter, weil als das bekannt wurde, wurden sofort
39:07
Bots entwickelt, die das ganze Netz quasi gescannt haben nach
39:12
anfälligen Servern die noch die falsche Log Vj Version
39:15
verwenden, weil du kannst auch über dieses dynamische Lan dir
39:20
die Version ausgeben lassen. Beispielsweise auf jeden Fall
39:24
wurden Bots entwickelt, die Scannen nach anfälligen Servern,
39:28
damit diese dann gezielt angegriffen werden können.
39:30
Und da siehst du diese, diese, diese Motivation dahinter finde
39:33
ich einfach so krass zu sagen, haha, hier ist ne riesen
39:35
Sicherheitslücke, jetzt geht es los und das das fand ich halt
39:38
auch wieder so erstaunlich im negativen Sinne, da ist schon
39:42
schon heftig, oder? Also das Ding ist, und das ist
39:45
ja auch krass, also. Also das das Scannen und das
39:48
Einschleusen davon ist ja auch wirklich.
39:50
Also wir hatten jetzt 2 Beispiele genannt, aber um auch
39:53
noch mal das Ausmaß noch mal weiter noch mal bisschen zu
39:57
dramatisieren, du kannst ja rein theoretisch auch versuchen über
40:01
ein HTTP header in einem Header quasi da auch so was
40:05
einzuschleusen, also du kannst es über so viele versuchen, also
40:08
so viele sag mal Vektoren versuchen wo irgendwo.
40:15
Wahrscheinlich irgendwas gelockt wird.
40:16
Also du hast ja bestimmte, also bestimmte, du kannst ja
40:21
erfahrungsgemäß sagen, okay, das wird wahrscheinlich gelockt und
40:25
das wird wahrscheinlich gelockt und das wird wahrscheinlich
40:26
gelockt und über diese Möglichkeiten, wo häufig
40:30
irgendwelche Server Logs sozusagen stattfinden, an den
40:34
entsprechenden Punkten, da wurde es natürlich versucht und da
40:37
wurde natürlich versucht, genau dieser Code einzuschleusen, aber
40:39
ich finde einfach, wenn man sich das noch mal, wenn man das noch
40:42
mal wirklich sich vor Augen hält, dann.
40:45
Finde ich das schon krass und dann nur weil ich das auch sehr
40:48
beeindruckend fand, war, dass du ja auch relativ schnell in der
40:52
Lage bist zu sagen, wenn du so einen Server kompromittiert
40:55
hast, kannst du ja zum Beispiel ein Skript auf diesem Server
40:58
installieren, der regelmäßig fragt, also ein Ping sozusagen
41:03
macht und an deinen bösen Angriffsserver anfragt, ob es
41:08
irgendwas auszuführen hat. Das heißt, du kannst rein
41:10
theoretisch konntest in diesem Moment alle Server, die du
41:13
kompromittiert hast dann. Regelmäßig mit einem Skript
41:17
versorgen und sagen, für das aus, sekündlich und.
41:20
Dann auch wieder Angriffe von eh schon eingenommenen Servern
41:25
quasi ausführen. Genau das heißt im Endeffekt
41:27
hast du, könntest du genau du könntest dann sozusagen schon
41:29
fast ein Bot. Also eigentlich kannst du ein
41:31
Botnetz damit aufbauen und das. Eigentlich noch mehr
41:35
verschleiern halt, wo der eigentliche Angriff herkommt.
41:38
Also das sind super Spannende. Themen kann man sich auch mal
41:42
überlegen, ob wir da mal ne Podcast folge drüber machen über
41:44
diese Strategien. Ansonsten würde ich sagen hat
41:48
wieder Mega Spaß gemacht, super cooles Thema, wie gesagt noch
41:51
nicht lange her, vielen Dank dafür.
41:53
Fabi ebenso. So so.
41:58
Und ja, liebe, zuhören, Liebe zuhören.
42:00
Falls du Fragen zu dem Thema hast oder dir vielleicht etwas
42:03
nicht ganz klar geworden ist dabei, das ist gar kein Problem,
42:06
dann schreibt uns gerne, auch wenn du Feedback hast.
42:08
Die Podcast Mail findest du in den Show Notes.
42:10
Wir freuen uns über jede Nachricht und werden sie auch
42:14
sehr, sehr gerne beantworten, falls Dir der Podcast gefallen
42:17
hat und besonders die Folge, dann lass es doch auch deine
42:20
Freunde wissen und empfiehlt den Podcast weiter, vielleicht so 23
42:23
Leuten, das wäre super das auch gerne eine Bewertung da, das
42:26
hilft uns enorm und. Schau auch gerne bei unseren
42:29
anderen Plattformen vorbei oder auf unserem Discord Server.
42:32
Die Links findest du wie immer in den Shownotes und ansonsten
42:34
würde ich sagen, hören wir uns alle beim nächsten Mal wieder.
42:36
Ich wünsche euch eine gute Zeit bis dahin ciao ciao deine
42:40
Corning. Bodys gemeinsam am besten.