Sicherheit eigener Webanwendungen - OWASP-Grundlagen
Zur Navigation springen
Zur Suche springen
Eigene PHP- und Webanwendungen benötigen mehr als ein TLS-Zertifikat und sichere Dateirechte. Sicherheit muss in Anmeldung, Berechtigungen, Eingaben, Abhängigkeiten, Konfiguration und Betrieb berücksichtigt werden.
Inhaltsverzeichnis
Zentrale Prüffelder
- jede geschützte Aktion serverseitig autorisieren
- Eingaben validieren und Ausgaben kontextbezogen kodieren
- parametrisierte Datenbankabfragen verwenden
- Framework-Schutz für Sessions und CSRF aktivieren
- Secrets außerhalb von Quellcode und öffentlichem Webroot speichern
- Abhängigkeiten und Laufzeitumgebung aktuell halten
- Uploads streng begrenzen und außerhalb ausführbarer Bereiche speichern
- Fehler intern protokollieren, aber Besuchern keine Details zeigen
- Sicherheitsereignisse überwachen und Wiederherstellung testen
Die OWASP Top 10 ist eine Einstiegshilfe für verbreitete Risikoklassen, aber keine vollständige Abnahme oder Garantie.
Vor dem Livegang
- Entfernen Sie Testkonten, Beispieldaten und Debugfunktionen.
- Prüfen Sie Rollen und Zugriffe mit mehreren Konten.
- Testen Sie alle schreibenden Funktionen ohne gültige Sitzung und mit falscher Rolle.
- Prüfen Sie Datei-Uploads und Größenlimits.
- Führen Sie Abhängigkeits- und Konfigurationsprüfung aus.
- Aktivieren Sie HTTPS, sichere Cookies und geeignete Header.
- Prüfen Sie Backup, Restore, Logging und Alarmierung.
Bei einem Fund
Dokumentieren Sie betroffene Version, URL, Zeitpunkt und Auswirkungen. Veröffentlichen Sie keine Zugangsdaten oder personenbezogenen Inhalte. Schließen Sie zunächst den Angriffsweg, rotieren Sie betroffene Secrets und prüfen Sie Protokolle auf tatsächliche Ausnutzung.
