Erst einloggen, dann attackieren

Bereits in der vorangangenen Ausgabe der dotnetpro haben wir das Tool OWASP ZAP [1], kurz für Open Web Application Security Project Zed Attack Proxy, vorgestellt [2]. Hier noch einmal im Schnelldurchlauf, was es zu sehen gab: Mit dem Open-Source-Werkzeug konnten wir niederschwellig eine Webapplikation auf Sicherheitslücken überprüfen. Dieser Vorgang erfolgte in zwei Schritten: Zunächst sorgte ein „Spider“ dafür, dass rekursiv alle Seiten und Endpunkte einer Website erfasst werden. Der zweite Schritt ist der eigentliche Scan: Hier werden alle zuvor gefundenen Ziele mit diversen Angriffen „beschossen“ und anschließend versucht, auf Basis der HTTP-Antworten der Anwendungen auf den Erfolg oder Misserfolg des Angriffsversuchs zu schließen. Das klappt mal besser und mal schlechter. Insofern gibt es auch noch einen dritten Schritt, der dann aber eher vom menschlichen Faktor abhängt als vom Tool: Es gilt die teilweise sehr lange Liste der Funde zu überprüfen, um aus Vermutungen Gewissheit zu schaffen: Was ist tatsächlich eine Sicherheitslücke und was nicht?