Skip to main content
Webrisiken: XSS, CSRF und Injection
Alle Lehrpfade9. Cybersecurity
intermediate+30 XP

Webrisiken: XSS, CSRF und Injection

💡 Die Kernidee im Alltag:

"Untrusted Eingaben an Vertrauensgrenzen sicher behandeln."

Konzepte verständlich erklärt (für Einsteiger jeden Alters)

Lernziele

Untrusted Eingaben an Vertrauensgrenzen sicher behandeln. Nach dieser Lektion kannst du das Konzept erklären, ein kleines Beispiel umsetzen und typische Grenzen benennen.

Erklärung

XSS bringt Angreifer-Script in einer Nutzeransicht zur Ausführung; kontextgerechtes Escaping und sichere DOM-APIs helfen. CSRF missbraucht automatisch gesendete Credentials für unerwünschte Aktionen; Tokens, SameSite und Origin-Prüfung helfen. Injection entsteht, wenn Daten als Befehl interpretiert werden; parametrisierte Abfragen trennen beides.

Schrittweises Beispiel

Nutze textContent für Text, parametrisierte SQL-Statements und CSRF-Schutz bei zustandsändernden Cookiesessions. Content Security Policy ist zusätzliche Verteidigung, keine Reparatur unsicheren Templates.

from html import escape
untrusted = "<img src=x onerror=alert(1)>"
print(escape(untrusted))

Zusammenfassung

Kodierung, Autorisierung und Request-Schutz sind unterschiedliche Sicherheitskontrollen.

Lerncheck & Übung

Etwa 35 Minuten · intermediate

Das lernst du

  • Erkläre die Kernidee von „Webrisiken: XSS, CSRF und Injection“ in eigenen Worten.
  • Wähle eine passende Technik für einen konkreten Anwendungsfall.
  • Erkenne mindestens eine typische Fehlerquelle.

Voraussetzungen

  • Keine Zugriffsvoraussetzungen. Vorwissen wird in der Erklärung eingeführt.

Häufige Fehler

  • Eingaben nur clientseitig zu validieren reicht nicht. HTML-Escaping ist kontextabhängig. CORS ist kein allgemeiner CSRF-Schutz.

Wissenscheck

Welche Praxis verhindert SQL-Injection am direktesten?

Praktische Aufgabe

Escapiere untrusted Text, bevor du ihn in eine HTML-Ansicht einfügst.

KI-Power-Tipp für Entwickler
Empfohlener Assistent: Optionaler Lernpartner (ohne Verbindung aus dieser Plattform)
Golden Prompt für deinen Editor:
Prüfe meine Erklärung zu „Webrisiken: XSS, CSRF und Injection“: Nenne eine fehlende Annahme und stelle mir eine Gegenfrage.
Qualitäts-Prüfung: Vergleiche die Antwort mit dem Beispiel und prüfe Randfälle eigenständig.

Interaktive Übung & lokaler Testlauf

Escapiere untrusted Text, bevor du ihn in eine HTML-Ansicht einfügst.

Hinweise auf Wunsch anzeigen
  • Zerlege die Aufgabe in Eingabe, Verarbeitung und erwartete Ausgabe.
  • Prüfe auch einen leeren oder ungültigen Fall.
Isolierte Ausführungsumgebung