Thomas.will: /* Anpassung: index.php (XSS Schutz) */

2026-03-24T20:18:55Z

Anpassung: index.php (XSS Schutz)

Thomas.will: Die Seite wurde neu angelegt: „= Level 3 – Absicherung der Anwendung (Security Hardening) = == Voraussetzung == * Level 2 muss vollständig umgesetzt und funktionsfähig sein * Benutzerve…“

2026-03-22T10:05:45Z

Die Seite wurde neu angelegt: „= Level 3 – Absicherung der Anwendung (Security Hardening) = == Voraussetzung == * Level 2 muss vollständig umgesetzt und funktionsfähig sein * Benutzerve…“

Neue Seite

= Level 3 – Absicherung der Anwendung (Security Hardening) =

== Voraussetzung ==
* Level 2 muss vollständig umgesetzt und funktionsfähig sein
* Benutzerverwaltung und Login existieren
* Anwendung ist erreichbar unter:

http://SERVER-IP/server

== Ziel ==
* Absicherung gegen SQL Injection
* Sichere Speicherung von Passwörtern
* Einführung von Rollen (admin / user)
* Schutz vor Cross-Site-Scripting (XSS)

== Erweiterung der Datenbank ==
* Anmeldung an MariaDB

mysql -u root

* Datenbank auswählen

use serververwaltung;

* Tabelle erweitern (Rollen hinzufügen)

alter table benutzer add rolle varchar(20);

* Rollen setzen

update benutzer set rolle='admin' where benutzername='admin';
update benutzer set rolle='user' where benutzername='user';

== Passwort-Hashing ==
* Passwörter dürfen nicht im Klartext gespeichert werden
* Stattdessen wird ein Hash verwendet

* Beispiel (PHP):

<pre>
<?php
echo password_hash("admin", PASSWORD_DEFAULT);
?>
</pre>

* Den erzeugten Hash in die Datenbank eintragen

update benutzer set passwort='HASH_HIER_EINFUEGEN' where benutzername='admin';
update benutzer set passwort='HASH_HIER_EINFUEGEN' where benutzername='user';

== Datei: login.php (sicher) ==
* Verwendung von Prepared Statements
* Überprüfung des Passworts mit password_verify()

<pre>
<?php
include 'db.php';
session_start();

$benutzername = $_POST['benutzername'];
$passwort = $_POST['passwort'];

$stmt = $conn->prepare("SELECT * FROM benutzer WHERE benutzername=?");
$stmt->bind_param("s", $benutzername);
$stmt->execute();

$result = $stmt->get_result();

if ($row = $result->fetch_assoc()) {
if (password_verify($passwort, $row['passwort'])) {
$_SESSION['user'] = $benutzername;
$_SESSION['rolle'] = $row['rolle'];
header("Location: index.php");
exit;
}
}

echo "Login fehlgeschlagen";
?>
</pre>

== Datei: add.php (sicher) ==
* Schutz durch Session
* Verwendung von Prepared Statements

<pre>
<?php
include 'db.php';
session_start();

if (!isset($_SESSION['user'])) {
die("Nicht eingeloggt");
}

if ($_SERVER["REQUEST_METHOD"] == "POST") {
$rechnername = $_POST["rechnername"];
$ip_adresse = $_POST["ip_adresse"];
$betriebssystem = $_POST["betriebssystem"];
$festplattenspeicher = $_POST["festplattenspeicher"];
$ram = $_POST["ram"];
$hauptdienst = $_POST["hauptdienst"];

$stmt = $conn->prepare("INSERT INTO server (rechnername, ip_adresse, betriebssystem, festplattenspeicher, ram, hauptdienst)
VALUES (?, ?, ?, ?, ?, ?)");

$stmt->bind_param("sssiss",
$rechnername,
$ip_adresse,
$betriebssystem,
$festplattenspeicher,
$ram,
$hauptdienst
);

if ($stmt->execute()) {
header("Location: index.php");
exit;
} else {
echo "Fehler";
}
}
?>
</pre>

== Datei: delete.php (sicher) ==
* Nur Admin darf löschen
* Verwendung von Prepared Statements

<pre>
<?php
include 'db.php';
session_start();

if (!isset($_SESSION['user'])) {
die("Nicht eingeloggt");
}

if ($_SESSION['rolle'] !== 'admin') {
die("Keine Berechtigung");
}

$id = $_GET['id'];

$stmt = $conn->prepare("DELETE FROM server WHERE id = ?");
$stmt->bind_param("i", $id);

if ($stmt->execute()) {
echo "Server gelöscht";
} else {
echo "Fehler";
}
?>
</pre>

== Anpassung: index.php (XSS Schutz) ==
* Ausgabe der Daten absichern

<pre>
echo htmlspecialchars($row["rechnername"]);
echo htmlspecialchars($row["ip_adresse"]);
echo htmlspecialchars($row["betriebssystem"]);
echo htmlspecialchars($row["hauptdienst"]);
</pre>

== Test ==
* Login mit admin/admin
* Login mit user/user

* SQL Injection testen

' OR 1=1 --

* Ergebnis:
** Login funktioniert NICHT mehr

* Löschen testen
** admin → funktioniert
** user → wird verweigert

== Ergebnis ==
* Teilnehmer verstehen:
** Warum SQL Injection gefährlich ist
** Wie Prepared Statements schützen
** Warum Passwort-Hashing notwendig ist
** Wie Rollen Zugriff steuern
** Warum Ausgaben gefiltert werden müssen

@@ Zeile 157: / Zeile 157: @@
 <pre>
-echo htmlspecialchars($row["rechnername"]);
+<?php
-echo htmlspecialchars($row["ip_adresse"]);
+session_start();
-echo htmlspecialchars($row["betriebssystem"]);
+include 'db.php';
-echo htmlspecialchars($row["hauptdienst"]);
+$result = $conn->query("SELECT * FROM server");
 </pre>

Level 3 – Einfache Serververwaltung (Minimal) - Versionsgeschichte

Thomas.will: /* Anpassung: index.php (XSS Schutz) */

Thomas.will: Die Seite wurde neu angelegt: „= Level 3 – Absicherung der Anwendung (Security Hardening) = == Voraussetzung == * Level 2 muss vollständig umgesetzt und funktionsfähig sein * Benutzerve…“