Das Wachstum und die Entwicklung des Internets haben die Art und Weise, wie wir kommunizieren, erheblich beeinflusst und eine Menge sensibler Informationen hervorgebracht. Sind Webanwendungen nicht ausreichend geschützt, so werden sie zum Ziel von Cyberangriffen. In diesem Artikel werden wir die grundlegende Vorgehensweise bei Penetrationstests für Webanwendungen beleuchten, um potenzielle Schwachstellen aufzudecken und die Online-Sicherheit zu stärken.

‍

Um den Schutz dieser Webanwendungen zu gewährleisten, spielen drei grundlegende Konzepte der Informationssicherheit eine herausragende Rolle, bekannt als "C.I.A." - Vertraulichkeit (Confidentiality), Integrität (Integrity) und Verfügbarkeit (Availability). Vertraulichkeit bezieht sich darauf, Informationen vor unbefugtem Zugriff oder Offenlegung zu schützen. Integrität gewährleistet, dass Daten unverändert und korrekt bleiben, um Fehler und Fehlinformationen zu vermeiden. Verfügbarkeit stellt sicher, dass Webanwendungen und Ressourcen jederzeit zugänglich sind und Ausfallzeiten vermieden werden. Weitere Informationen zum C.I.A Prinzip findest du z.B. auf dieser externen Seite.

Phasen beim Penetrationstest 

‍

Hier ist eine Übersicht über die verschiedenen Phasen beim Penetrationstest: 

‍

Informationsbeschaffung und -bewertung

Der Penetrationstester sammelt Informationen über die Webanwendung und ihre Umgebung, einschließlich der verwendeten Technologien, der Netzwerkinfrastruktur und der Zugangsmechanismen. Basierend auf diesen Informationen kann der Tester eine Liste der potenziellen Schwachstellen erstellen, die getestet werden sollten.

‍

Schwachstellenanalyse

Der Tester führt eine Schwachstellenanalyse durch, um bekannte und potenzielle Schwachstellen in der Webanwendung zu identifizieren. Dazu können automatisierte Tools wie Vulnerability-Scanner oder manuelle Überprüfungen durch den Tester selbst eingesetzt werden.

‍

Schwachstellenbewertung

Der Tester bewertet die Schwere und Auswirkungen der identifizierten Schwachstellen und priorisiert diese nach Risiko und Auswirkung auf die Webanwendung und das Unternehmen.

‍

Angriffsversuche

Der Tester führt Angriffsversuche durch, um die identifizierten Schwachstellen zu testen. Dies kann die Verwendung von Exploits, Manipulation von Anfragen und Antworten oder andere Techniken umfassen.

‍

Berichterstellung

Nach Abschluss des Tests erstellt der Tester einen Bericht, der die Ergebnisse der Tests und Empfehlungen für die Behebung der gefundenen Schwachstellen enthält. Der Bericht enthält detaillierte Informationen über die identifizierten Schwachstellen, mögliche Auswirkungen, Schweregrade und Beispiele für Angriffsversuche enthalten. Zusätzlich werden die gefundenen Schwachstellen anhand der Common Weakness Enumeration (CWE) kategorisiert. CWE ist eine freie Auflistung von Schwachstellen in Software und Hardware, die mithilfe von CWE-Codes eindeutig identifiziert werden können. Dies ermöglicht es, gezielt nach Informationen zu den Schwachstellen zu suchen und geeignete Maßnahmen zur Sicherheitsverbesserung zu ergreifen.

‍

Behebung und Re-Test

Das Unternehmen sollte die identifizierten Schwachstellen beheben und die Anwendung erneut testen lassen, um sicherzustellen, dass die Schwachstellen behoben wurden und keine neuen Schwachstellen entstanden sind. In bestimmten Bereichen, wie beispielsweise im staatlichen Bereich oder in Branchen mit hohen Sicherheitsanforderungen, ist es tatsächlich üblich, dass eine Anwendung vor der Freigabe oder Nutzung eine erfolgreiche Sicherheitsüberprüfung, wie einen bestandenen Penetrationstest, durchlaufen muss. Dies stellt sicher, dass die Systeme angemessen geschützt sind.

‍

Arten von Penetration Testern

‍

Es gibt verschiedene Arten von Penetrationstestern, wie den Black Box Penetrationstest, die White Box und die Grey Box. 

Black Box

Bei Penetrationstests hat der Tester keine Ahnung von den Systemen, die er testen wird. Er ist daran interessiert, Informationen über das Zielnetz oder System zu sammeln. Bei diesem Test weiß der Tester beispielsweise nur, welches Ergebnis zu erwarten ist, und er weiß nicht, wie das Ergebnis zustande kommt.

‍

White Box

Bei einem White-Box-Penetrationstest erhält der Tester umfassende Informationen über die Systeme oder das Netzwerk, die getestet werden sollen. Dies kann das Systemschema, den Quellcode, Details zum Betriebssystem und die IP-Adresse umfassen. Der Tester verwendet diese Informationen, um den Test durchzuführen, der oft als eine Art simulierter Angriff von einer internen Quelle angesehen wird.

Insgesamt ermöglicht der White-Box-Penetrationstest dem Tester einen tiefen Einblick in das System oder die Anwendung und hilft dabei, spezifische Schwachstellen zu identifizieren. Durch den Zugriff auf detaillierte Informationen kann der Tester effektivere Tests durchführen.

‍

Grey Box

Bei dieser Art des Testens liefert ein Tester in der Regel nur teilweise oder begrenzte Informationen über die internen Details des Programms eines Systems. Es kann als Angriff durch einen externen Angreifer betrachtet werden, der sich unrechtmäßig Zugang zu der Netzwerkinfrastruktur einer Organisation verschafft hat.

‍

OWASP Top 10

‍

OWASP Top 10 ist eine Liste, die die häufigsten Sicherheitsprobleme in Webanwendungen beschreibt. Sie hilft Entwicklern dabei, sich auf die wichtigsten Risiken zu konzentrieren, um ihre Webanwendungen sicherer zu machen. Die Liste wird regelmäßig aktualisiert, um neue Bedrohungen zu berücksichtigen.

Folgende Punkte zeigen die aktuellen Sicherheitsprobleme in Webanwendungen:

‍

1. Broken Access Control

2. Cryptographic Failures

3. Injection

4. Insecure Design

5. Security Misconfiguration

6. Vulnerable and Outdated Components

7. Identification and Authentication Failures

8. Software and Data Integrity Failures

9. Security Logging and Monitoring Failures

10. Server Side Request Forgery

‍

Die aktuelle Liste findest du hier: https://owasp.org/www-project-top-ten/. Um diese Sicherheitslücken selber auszutesten, kannst du den Juice Shop verwenden.

‍

Hilfreiche Tools für Penetrationstest bei  Webanwendungen und Betriebssystem Kali Linux 

‍

Für die Durchführung der Penetrationtests empfiehlt es sich, das Betriebssystem Kali Linux zu verwenden. Die meisten Penetrationtester nutzen das Betriebssystem Kali Linux, das auf Debian basiert. Kali enthält mehrere hundert Tools für verschiedene Aufgaben der IT-Sicherheit, wie Penetrationtests oder Forensik.

‍

Eines der Tools von Kali Linux, die für Penetrationtest von Vorteil sind, ist Burp Suite. Burp Suite fungiert als Proxy, der den Datenverkehr zwischen dem Browser und der Zielanwendung abfängt. Dadurch können Anfragen modifiziert werden, um Schwachstellen wie Cross-Site-Scripting (XSS) oder SQL-Injection zu testen. Burp Suite ist ein leistungsstarkes Werkzeug, das in Kali Linux in der kostenlosen Community Edition enthalten ist. Es gibt auch eine kostenpflichtige Version namens Burp Suite Professional, die zusätzliche Funktionen bietet. Ein weiteres hilfreiches Tool in Kali Linux ist Nikto. Nikto ist ein Open-Source Webserver-Scanner. Nikto kann verwendet werden, um nach bekannten Schwachstellen, fehlerhaften Konfigurationen und anderen potenziellen Sicherheitsproblemen in Webservern zu suchen. Genau so wird SQLMap in Kali Linux verwendet. SQLMap ist ein Open-Source-Tool, das für automatisierte SQL-Injection-Angriffe entwickelt wurde. Bei einem SQL-Injection-Angriff wird schädlicher SQL-Code in eine Webanwendung eingeschleust, um unautorisierten Zugriff auf die Datenbank zu erlangen. 

‍

Nun zu dir

‍

Du bist dir der Gefahren des World Wide Webs bewusst und nun auch informiert über die verschiedenen Arten von Penetrationstests, weißt aber immer noch nicht genau, welcher für deinen Fall der Richtige ist? Keine Sorge, wir sind hier, um dir zu helfen! Gerne beraten wir dich zum Thema Penetrationstests, damit du Schwachstellen in deinen Webanwendungen identifizieren und beheben kannst. Melde dich bei uns, und wir werden gemeinsam schauen, wie wir dich am besten schützen können.