Erzwungenes Browsing

Was ist Forced Browsing?

Forced Browsing ist eine Art von Cyberangriff, bei dem ein Angreifer versucht, auf Verzeichnisse, Dateien oder andere Ressourcen zuzugreifen, die eine Website nicht öffentlich zugänglich machen möchte. Anstatt über öffentliche Seiten und Links zu navigieren, gibt der Angreifer direkt eine URL in die Adressleiste des Browsers ein, um nach versteckten Dateien oder Verzeichnissen auf dem Server zu suchen. Zu den gängigen Methoden zur Ermittlung nicht öffentlicher Pfade gehören:

• Verzeichnisauflistung
  Wenn die Verzeichnisindexfunktion des Webservers aktiviert ist, kann durch Eingabe der URL eines Verzeichnisses eine Liste der darin enthaltenen Dateien angezeigt werden. Wenn sich in diesen Verzeichnissen vertrauliche Dateien befinden, können Angreifer deren Namen leicht ermitteln.
• Kommentare in HTML-Dateien
  Im HTML-Code eingebettete Kommentare können unbeabsichtigt Pfade zu nicht öffentlichen Ressourcen offenlegen.
• Erraten von URLs
  Durch die Untersuchung von Verzeichnisauflistungen oder Informationen aus HTML-Kommentaren können Angreifer die Namenskonventionen der Website ableiten. Anhand dieser Muster können sie dann die Namen nicht öffentlicher Dateien in anderen Verzeichnissen erraten.

Präventionsmaßnahmen:

So verhindern Sie Forced-Browsing-Angriffe:

• Deaktivieren Sie die Verzeichnisauflistung (entfernen Sie in Apache die Option „Indexes“ aus der Datei http.conf).
• Entfernen Sie unnötige Kommentare aus öffentlich zugänglichen HTML-Dateien.
• Beschränken Sie den Umfang der Zugriffsberechtigungen für Webanwendungen.

Darüber hinaus kann die Implementierung einer Web Application Firewall (WAF) solche Angriffe wirksam abwehren. F5 bietet F5 BIG-IP, das leistungsstarke WAF-Funktionen integriert, um vor Forced Browsing und anderen Cyberbedrohungen zu schützen.