<style> .reveal .slides { background: url(https://hedgedoc.xinux.net/uploads/xinux-weiss.png) no-repeat; background-position: right 10px bottom 10px; background-size: 80px; } .reveal ul li { font-size: 20px !important; line-height: 1.3 !important; margin-bottom: 10px !important; } .reveal .slides section { text-align: left; padding: 20px 40px !important; } </style> ## Hacking von Webservern & Anwendungen --- ## Was ist ein Webserver? Ein Webserver stellt Webseiten und Webanwendungen bereit. Zu den gängigen Systemen zählen: - 🖥️ Apache (Linux-basiert) - 🖥️ Nginx (Linux-basiert) - 🪟 IIS (Windows-basiert) Diese Systeme sind häufige Ziele für Angriffe – insbesondere bei Fehlkonfigurationen oder veralteter Software. --- ## Warum Webserver auf Schwachstellen testen? ✅ Fehlkonfigurationen erkennen ✅ Unberechtigten Zugriff verhindern ✅ Bekannte Schwachstellen (CVEs) schließen ✅ Gesamtsicherheit erhöhen 👉 Notwendig für Penetrationstests und Ethical Hacking --- ## Häufige Webserver-Schwachstellen ❗ Directory Traversal ❗ Remote Code Execution (RCE) ❗ File Inclusion (LFI / RFI) ❗ Fehlerhafte Berechtigungen ❗ Nicht gepatchte CVEs (Apache, IIS) --- ## Tools zum Testen von Webservern ✔️ **Nmap** – Ports und Dienste scannen ✔️ **Nikto** – Schwachstellen identifizieren ✔️ **Dirb** – Versteckte Verzeichnisse finden ✔️ **Metasploit** – Exploits testen ✔️ **Burp Suite** – HTTP-Anfragen abfangen & modifizieren --- ## Beispiel: Apache Webserver scannen nmap -sV -p 80,443 <ziel-ip> nikto -h http://<ziel-ip> dirb http://<ziel-ip> --- ## Weitere Hinweise & Sicherheitshinweis 🧠 Damit findest du: – veraltete Versionen – unsichere Methoden – öffentlich zugängliche Pfade --- ## Schwachstellen bei IIS-Servern ✔️ Anonymer Zugriff ✔️ Verb Tampering (z. B. HEAD statt GET) ✔️ WebDAV-Fehlkonfigurationen ✔️ Dateiupload-Bypass ✔️ CVE-2021-31166: HTTP-Protokollstack (RCE) --- ## Beispiel: Metasploit für IIS/WebDAV msfconsole use exploit/windows/iis/iis_webdav_scstoragepathfromurl set RHOST <ziel-ip> exploit --- ## Tipps für sicheres Testen 🔒 Teste nur in legaler Umgebung 👨‍💻 Nutze Labs wie DVWA, Metasploitable oder HackTheBox 💾 Halte Tools & Patches aktuell 📓 Logge alle Aktivitäten ⚙️ Melde gefundene Schwachstellen verantwortungsvoll --- ## Rechtlicher Hinweis (Disclaimer) ⛔ Inhalte dienen ausschließlich der Schulung und ethischem Hacking. 💻 Das Testen fremder Systeme ohne Zustimmung ist strafbar. 🧑‍🔬 Verwende autorisierte Testumgebungen oder eigene Systeme. ✅ Diese Präsentation fördert nur legales und verantwortungsvolles Lernen im Bereich Cybersicherheit.