Penetrationstests von Webanwendungen

Sparpotenzial bei Penetrationstests von Webanwendungen

Im Fall von Penetrationstests gegen Webapplikationen sind wir relativ flexibel, was die Prüfintensität angeht. Der Grad an Automatisierung und manueller Prüfung kann je nach Wunsch des Kunden angepasst werden. Die folgenden Szenarien sind möglich:

• 15% manuell / 85% automatisiert Günstig, aber oberflächlich. Der Fokus liegt auf Angriffsvektoren, die sehr häufig Probleme verursachen. Wir nutzen nahezu ausschließlich automatisierte Scans.
• 50% manuell / 50% automatisiert Moderater Preis, gute Qualität. Hier werden die „interessantesten“ Anfragen manuell analysiert. Alle anderen werden automatisiert geprüft.
• 85% manuell / 15% automatisiert Teuer, aber sehr gründlich. Jede Anfrage wird detailliert analysiert. Der Fokus liegt auf einem vollständigen manuellen Pentest.

API Penetrationstest vs Web Penetrationstest

Ein API-Penetrationstest ist im Grunde genommen ein Web-Penetrationstest, der sich auf die Schnittstellen konzentriert. Moderne Webanwendenungen sind häufig ein Javascript-Frontend (AngularJS, ReactJS, VueJS), das mit dem Backend über eine API kommuniziert. Das Vorgehen ist im Vergleich zu einem Webapp-Pentest ganz ähnlich. Aufgrund der häufig zur Verfügung stehenden API-Dokumentation (Swagger, OpenAPI, GraphQL) können wir eine API relativ schnell aber gründlich testen.

Relevanz von Web-Frameworks für Pentests

Mit dem Siegeszug so genannter Web-Frameworks wie Laravel, Django, Ruby on Rails, Spring Boot (Java) sowie .NET wurde ein Werkzeug geschaffen mit dem es aus Entwicklersicht deutlich schwerer ist, schwere Sicherheitslücken zu produzieren - vorausgesetzt, es wird korrekt verwendet - was nicht immer der Fall ist. Trotzdem stellen wir fest, dass jedes Framework seine „Eigenheiten“ hat, so finden wir bei Laravel-Pentests seltener XSS oder SQL Injections, dafür häufiger Probleme im Bereich Mass Assignment. Java- und ASP-Frameworks haben hingegen öfter Probleme mit Dateiverarbeitung. Ein Pentest ist also auch bei modernen Web-Frameworks sinnvoll.

Methodik bei Web Application-Pentests

Der Klassiker, wenn es um Pentest-Methodik in Zusammenhang mit Webapplikationen geht, ist die OWASP Top 10 Liste. Sie beinhaltet die häufigsten Sicherheitslücken, die in Webapplikationen gefunden werden. Das Problem ist: es sind nicht alle. Ein Angreifer ist allgemein sehr kreativ, er kombiniert Sicherheitslücken und macht daraus komplexe Angriffe. So arbeiten wir ebenfalls. Wir arbeiten nicht stupide irgendwelche Listen ab - wir suchen nach Dingen, die für Sie zum Problem werden können - isoliert oder in Kombination. Trotzdem: OWASP (siehe Web Security Testing Guide) sowie BSI (Pentest-Durchführung) sind für uns der absolute Standard.