← Zurück zu den Experimenten

Laborprojekte

Security Playground

Interaktive Demos häufiger Web-Sicherheitsfehler und sichererer Umsetzungsmuster.

Sicherheitshinweis

  • Dies sind sichere Simulationen zu Lernzwecken.
  • Sie greifen keine echten Systeme an und sind so gestaltet, dass keine echten Schadfunktionen ausgeführt werden.
  • Sie vermitteln sicheres Denken für Frontend- und Full-Stack-Entwickler.

XSS-Demo

XSS und unsicheres HTML-Rendering

Warum das Rendern nicht vertrauenswürdigen HTMLs gefährlich ist.

Zeigt, wie die Wahl der Darstellung im Frontend das Einschleusen von Skripten ermöglichen kann.

Prinzip unsicherer Darstellung

v-html-Bindung (simuliert)

Warte auf Eingabe …

Sichere Darstellung mit Escaping

Standardinterpolation

Warte auf Eingabe …
Wichtige Erkenntnisse:
  • Vertraue niemals Benutzereingaben.
  • Vermeide die direkte Ausgabe von Benutzer-HTML.
  • Maskiere die Ausgabe immer (Standard in Vue/React).
  • Falls HTML erforderlich ist, bereinige es mit bewährten Bibliotheken und verwende eine strenge CSP.

Demo zur Token-Speicherung

Browserspeicher und offengelegte Tokens

Warum sensible Tokens in localStorage riskant sind.

Zeigt, wie jedes Skript auf der Seite localStorage lesen kann — auch eingeschleuste Skripte.

Simulierter localStorage-Inhalt:

{ "auth_token": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.simulated_mock_token_4c2nw1az" }
Wichtige Erkenntnisse:
  • Jedes JavaScript auf der Seite kann auf localStorage zugreifen.
  • Bei einer XSS-Schwachstelle können Angreifer gespeicherte Tokens stehlen.
  • Bevorzuge Cookies mit HttpOnly und Secure für sensible Sitzungskennungen.
  • Begrenze immer die Gültigkeitsdauer und Berechtigungen von Tokens.

Demo zur Phishing-Erkennung

Phishing und gefälschte Anmeldeseiten erkennen

Warum ein vertrautes Aussehen keine Echtheit beweist.

https://secuure-login-update.com/auth

Bei deinem Konto anmelden

Handlung erforderlich: Innerhalb von 24 Stunden bestätigen

Prüfliste

Prüfe vor der Eingabe von Zugangsdaten:

  • ❌Domain prüfen: secuure-login-update.com ist eindeutig verdächtig.
  • ❌Vorsicht bei Zeitdruck: „Innerhalb von 24 Stunden bestätigen“ ist eine klassische Social-Engineering-Taktik.
  • ✅HTTPS prüfen: Vorhanden, aber eine sichere Verbindung zu einer gefälschten Seite macht diese nicht vertrauenswürdig.
  • ✅Passwortmanager nutzen: Er füllt Zugangsdaten auf einer unbekannten Domain nicht automatisch aus.
Wichtige Erkenntnisse:

Phishing setzt oft auf Zeitdruck und visuelle Nachahmung. Eine täuschend ähnliche Oberfläche lässt sich leicht erstellen. Ein vertrautes Aussehen beweist keine Echtheit. Prüfe immer die Domain und achte auf die Autofill-Signale deines Passwortmanagers.

Demo zum Prinzip der SQL-Injection

Prinzip der SQL-Injection

Warum SQL aus verketteten Zeichenketten gefährlich ist und parametrisierte Abfragen sicherer sind.

Unsichere Zeichenkettenverkettung

SELECT * FROM users WHERE username = 'admin';

Sichere parametrisierte Abfrage

SELECT * FROM users WHERE username = $1;

$1 ="admin"
Wichtige Erkenntnisse:
  • Verkette niemals nicht vertrauenswürdige Eingaben mit Datenbankabfragen.
  • Verwende immer parametrisierte Abfragen oder bewährte ORMs.
  • Validiere und beschränke Eingabedatentypen auf dem Server.