Penetrationstests für Webanwendungen

Fehlerhafte Zugriffskontrolle steht aus gutem Grund an der Spitze der OWASP Top 10. Frameworks erledigen viele Sicherheitsaufgaben automatisch, aber sie können nicht wissen, welche Datensätze zu welchem Kunden gehören oder welche Schaltflächen ein Manager drücken darf. Diese Regeln stehen in Ihrem Code, Funktion für Funktion geschrieben, und eine fehlende Prüfung genügt.

Wir testen das systematisch: Wichtige Anfragen werden als andere Nutzer und andere Rollen wiederholt, mit geänderten Kennungen, um zu sehen, ob der Server die Regel durchsetzt oder nur die Oberfläche die Option verbirgt. Es ist sorgfältige, repetitive Arbeit, und daher stammen viele der ernsten Befunde in modernen Anwendungen.

Automatische Scanner erkennen gut reflektierte Eingaben und bekannte Muster, aber sie verstehen nicht, wofür Ihre Anwendung da ist. Sie können nicht wissen, dass ein Rabattcode nur einmal gelten soll, dass eine Rechnung im Entwurf nicht zahlbar sein sollte oder dass ein Support-Mitarbeiter Tickets sehen, aber die Abrechnung nicht ändern darf. Diese Regeln sind spezifisch für Ihr Geschäft, und ihr Bruch ist genau, wie echter Missbrauch geschieht.

Den größten Teil eines Web-App-Tests verbringen wir mit dieser menschlichen Seite: nachlesen, wie jede Funktion funktionieren soll, und dann prüfen, ob der Server es tatsächlich durchsetzt, wenn eine Anfrage in falscher Reihenfolge, mit geändertem Wert oder vom falschen Konto eintrifft. Das ist langsamer als ein Scan und weit nützlicher, weil es die Probleme erreicht, die Geld und Vertrauen kosten, und nicht die, die ein Tool ohnehin gemeldet hätte.

Häufig gestellte Fragen