Training / HTTP & Caching

Ein Cache, zwei Wirklichkeiten

Du weist Cache-Manipulation nach und hältst öffentliche Inhalte trotz sicherer Trennung cachebar.

← Alle 12 Trainings35 Min. Richtwert · Servergeprüfte Simulation
DEEP DIVE / PRAKTISCHER FALL

Beweise es. Dann repariere es.

Der Edge-Cache ist schnell. Leider erhalten andere Besucher gelegentlich fremde Inhalte. Untersuche Host-Vertrauen, Sprachvarianten und personalisierte Antworten. Ein manipulierter Origin allein beweist noch keine Cache-Vergiftung.

3 StationenRequests · Konfiguration · NachtestBelege statt Antwort-Buttons
So funktioniert der Fall · Modellgrenzen und Fortschritt

HTTP-Cache-Modell mit zwei logischen Clients. Methoden, Header und Cache-Schlüssel werden ausgewertet; HTML wird ausschließlich als Text gezeigt.

Alle Aktionen bleiben in der Simulation. Du brauchst keine Installation und keine Zugangsdaten. Serverprüfung statt Lösungen im Browser-Code. Ein notwendiges anonymes Cookie ordnet den Fortschritt diesem Browser für 14 Tage zu; kein Name und keine E-Mail. Eigene Notizen bleiben auf diesem Gerät. Fehlversuche kosten keine Punkte. Jeder abgerufene Hinweis kostet 5 Punkte. Ein privater Abschlussnachweis und ein freiwilliger Highscore sind unten verfügbar; keine akkreditierte Berufsqualifikation.

Fallstand wird geladen …

0 Stationen abgeschlossen.
Technische Grundlagen und weiterführende Quellen

Die Simulation bildet ausgewählte Mechanismen ab. Für echte Systeme gelten zusätzliche Plattform-, Parser-, Netzwerk- und Vertrauensprüfungen.

/Verstehen. Testen. Anwenden.

Web-Zugriffe absichern
01 / VERSTEHEN

Die Hintergründe nachlesen.

Beiträge zum Thema
02 / SELBST TESTEN

Ein Cache, zwei Wirklichkeiten

Fall erneut ansehen
03 / IM ALLTAG PRÜFEN

Web und API: Angemeldet heißt nicht berechtigt

Checkliste mit Gegenprobe
MAURISEC / LEARNING RECORD

Dein Abschluss. Dein Nachweis.

Hall of Fame →

Erst lösen. Dann belegen.

Wenn alle Stationen serverseitig bestanden sind, kannst du deinen privaten PDF-Nachweis herunterladen. Name oder Alias für das PDF wird nicht gespeichert.

Dein Platz in der Hall of Fame

Nur wenn du möchtest. Dein PDF bleibt davon unabhängig. Veröffentlicht werden Alias, Training, Punkte und Abschlussdatum für höchstens zwölf Monate.

Nach dem erfolgreichen Abschluss wird die freiwillige Eintragung freigeschaltet.

Nach dem Training: Was bleibt?

Letzte 50 freigegebene Beiträge

Was war hilfreich, was fehlt, wo hing es? Sachliche Kritik ist willkommen. Keine Zugangsdaten, personenbezogenen Daten Dritter oder Links. Neue Kommentare werden vor Veröffentlichung geprüft.

Noch kein Kommentar. Teile die erste Erkenntnis.

Deine Rückmeldung

Die Inhalte sind weltweit öffentlich abrufbar. Einzelheiten zur Speicherung und deinen Rechten findest du im Datenschutzhinweis.

Lokale Rechenaufgabe statt Bilderrätsel. Keine externe CAPTCHA-Verbindung. Danach Formular absenden.
Eintrag mit Löschschlüssel entfernen

Datenschutz, Speicherung und deine Rechte · Betreiber-Moderation

Die nächste gute Frage.

Der Agent mit zu vielen RechtenOperation GlasshouseDer zweite Hop

Im Blog suchen

31 Beiträge

Provenance gültig. Paket trotzdem vergiftet.3 Min. LesezeitWer fragt da? Identität vor die App.3 Min. LesezeitAuto offen. Der Login war der Schlüssel.3 Min. LesezeitCVSS 10.0. Nichts zu patchen.3 Min. LesezeitRoot im Gast. Griff in Firecracker.3 Min. LesezeitBarracuda ESG: Zwei Lücken, ein Root-Weg3 Min. LesezeitNicht mehr fragen? Dann bitte ohne Secret.3 Min. LesezeitApp-Login. Kein User.3 Min. LesezeitGepatcht. Nicht geputzt.4 Min. LesezeitMFA an. Trotzdem drin.4 Min. LesezeitGeprüft. Dann getauscht.4 Min. Lesezeit14 Rabbit Holes für Entra, M365 und SOC.3 Min. LesezeitARTEX: Der Zeitvorteil liegt zwischen den Schritten.3 Min. LesezeitDas Inventar muss vor der CVE fertig sein.3 Min. LesezeitDas Update selbst ist die Lücke.2 Min. LesezeitDer Anruf kam von der IT. Angeblich.2 Min. LesezeitDer erste Patch war nicht die ganze Kette.2 Min. LesezeitDer interessante Teil liegt zwischen den Alerts.2 Min. LesezeitDer Kernel ist installiert. Läuft er auch?3 Min. LesezeitDer Passkey sitzt. Die Hintertür auch?2 Min. LesezeitDie Gruppe ist noch da. Die Logik steht.2 Min. LesezeitDie KI ist echt. Die Einladung nicht.2 Min. LesezeitEchte Loginseite. Falscher Auftrag.2 Min. LesezeitEchter Login. Falscher Auftrag.3 Min. LesezeitEine KEV-Frist ist noch kein Wiederherstellungsplan.3 Min. LesezeitFernhilfe erlaubt. Domänenzugriff gewonnen.2 Min. LesezeitGeklickt. Bestanden. Nichts gelernt?2 Min. LesezeitKühlung ist kein Neben-Netz.2 Min. LesezeitNode2Shell: Das Image-Tag ist kein Inventar.3 Min. LesezeitStandard ist noch keine Zugriffsregel.2 Min. LesezeitToken-Flows aus PDFs lernen? Viel Glück.3 Min. Lesezeit

Esc schließt die Suche.