Penetration Test Webapplikation

Penetration Test Webapplikation

Eines der Haupteinfalltore für erfolgreiche Angriffe sind sicherheitstechnisch bedenkliche Applikationen, die von Unternehmen auf Ihrem Webserver angeboten werden. Diese sind heutzutage mit diversen mobilen Geräten wie iPad / iPhone oder Android SmartPhones von fast jedem Ort abruf- und somit auch angreifbar.

Neben einem Imageschaden durch sogenannte "Defacements" können weitaus problematischere Folgen entstehen. Häufig ist das Eindringen in den Firmenwebserver über eine Webapplikation nur der erste Schritt zu einem erfolgreichen Datendiebstahl. Um das geistige Eigentum der eigenen Firma sowie das Image zu schützen, ist es daher unentbehrlich, die hauseigenen Web- bzw. Mobile-Applikationen einem professionellem Penetrationtest zu unterziehen.

Wir prüfen auf dem hohem Niveau nach OWASP Top 10, um Ihrem Unternehmen den bestmöglichen Schutz zu bieten. Im Rahmen Ihres Qualitätsmanagements schlüsseln wir die Ergebnisse in ausführlichen Berichten auf und sprechen Handlungsempfehlungen aus.

Was ist der Unterschied zu Netzwerk-Penetrationtests?

Der Unterschied zu herkömmlichen Penetrationtests liegt in der Natur der Anwendung sowie dessen Erreichbarkeit. Ein Intranet (firmeninternes Netzwerk) ist nicht unbedingt direkt über das Internet angreifbar. Eine Webapplikation hingegen erhebt den Anspruch, möglichst 24 Stunden am Tag verfügbar zu sein, und kann mit jedem internetfähigem Gerät penetriert werden.

In vielen Fällen wird gar das operative Geschäft, z.B. ein Online Shop oder eine Community Seite, über mobile Anwendungen betrieben und stellt somit angebotene Kernleistungen eines Unternehmens dar. Diese gilt es natürlich bestmöglich gegen unerwünschte Angreifer, Spionage und Sabotage zu schützen.

Auf welche Schwachstellen testen wir Ihre Webapplikation?

Ausgehend von den OWASP Top 10 testen wir auf:

  • Injection (SQL, LDAP, XPATH u.a.)
  • Cross Site Scripting (XSS)
  • Schlechte Authentifizierung und Session Management
  • direkten Zugriff auf unzureichend gesicherte Objekte
  • Cross Site Request Forgery (CSRF)
  • unzureichende Konfiguration
  • Insecure Cryptographic Storage
  • ungesicherten direkten URL Zugriff
  • unzureichende Sicherung der Transportschicht
  • unsichere Redirects und Forwards

Welche typischen Schwachstellen und Sicherheitslücken können auftreten?

Ausgehend von der obigen Auflistung und praktischen Erfahrungen im Bereich Sicherheitsmanagement fallen oftmals gleichartige Fehlerquellen auf, die durch saubere Programmierung und durchdachtes Software Engineering verhindert werden können. In diesem Zusammenhang bietet die Curesec GmbH Schulungen und Seminare für Sicherheitsverantwortliche, Entwickler und auch Administratoren an.

Ähnlich der Betrachtung von Netzwerkstrukturen, lassen sich Fehler auf technisch unzureichend umgesetzte Anwendungen sowie mangelnde Sensibilisierung von Benutzergruppen bezüglich Sicherheitsrestriktionen beobachten.

Zu häufigen Fehlerquellen zählen unter anderem klassisches Cross Site Scripting, welches Angreifern erlaubt, Schadcode über z.B. die URL einer Anwendung zu implementieren. Ausgehend von mangelnder Session-Verwaltung und Cookie-Programmierung können versierte Angreifer durch eigens authentifizierte Zugänge gar ganze Beiträge, Produkte, Benutzer oder Systemkomponenten manipulieren, im Speziellen sogar löschen (Cross Site Request Forgery). Diese durch mangelnde Session Fixation bedingte Sicherheitslücke kann zu nicht unerheblichem wirtschaftlichen Schaden führen. Weitere technische Schwachstellen, die durch Penetration Tests von Webapplikationen aufgedeckt werden, sind schwache Passwortrestriktionen (z.B. zu kurze Passwörter) oder Information Disclosures, durch die potentielle Angreifer an Informationen über den Server, dessen Version und das laufende Betriebssystem erfahren.

Natürlich gilt es bei einem Webapplikations-Penetrationtest, auch das Benutzerverhalten zu untersuchen und vermeidbare Handlungen zu identifizieren. So können Benutzer oder Administratoren, begründet durch schwache Passwort Policy und Restriktionen der Anwendung, selbst für den autorisierten Zugriff durch Eindringlinge benutzt werden. Die Rede ist von unzureichend gewählten Passwörtern (einfache Eingabemuster oder Benutzung von Klarnamen) oder das Missachten von Logout-Hinweisen.

Ein ausführlicher Penetrationtest beinhaltet daher die Erstellung eines umfassenden Berichts, der anhand stichprobenartiger Sicherheitsuntersuchung deutliche Schwachstellen benennt, erklärt und Lösungen anbietet.

Gerne führen wir ein Beratungsgespräch zu ihrer Webapplikation durch. Dabei gehen wir selbstverständlich auf Ihre Wünsche und Bedrohungsszenarien ein. Für weitere Fragen wenden Sie sich bitte an Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein! .

Publizierte Schwachstellen (Auszug)

Weitere Informationen zu unseren Veröffentlichungen finden Sie auf unserem Blog.

  • AlegroCart 1.2.8: SQL Injection
  • AlegroCart 1.2.8: LFI/RFI
  • LiteCart 1.3.2: Multiple XSS
  • ClipperCMS 1.3.0: XSS
  • ClipperCMS 1.3.0: SQL Injection
  • ClipperCMS 1.3.0: Path Traversal
  • ClipperCMS 1.3.0: CSRF
  • ClipperCMS 1.3.0: Code Execution Exploit
  • ClipperCMS 1.3.0: Code Execution
  • dotclear 2.8.1: XSS
  • dotclear 2.8.1: Code Execution
  • Open Source Social Network 3.5: XSS
  • Sitemagic CMS 4.1: XSS
  • Thelia 2.2.1: XSS
  • TomatoCart v1.1.8.6.1: XSS
  • TomatoCart v1.1.8.6.1: Code Execution
  • XCart 5.2.6: Code Execution Exploit
  • XCart 5.2.6: Code Execution
  • XCart 5.2.6: Path Traversal
  • XCart 5.2.6: XSS
  • TheHostingTool 1.2.6: Multiple XSS
  • TheHostingTool 1.2.6: Multiple SQL Injection
  • TheHostingTool 1.2.6: Code Execution
  • Quick.Cart 6.6: Multiple XSS
  • Quick.Cart 6.6: CSRF
  • CubeCart 6.0.7: XSS
  • CubeCart 6.0.7: Code Execution
  • Supercali Event Calendar 1.0.8: XSS
  • Supercali Event Calendar 1.0.8: CSRF
  • SQLiteManager 1.2.4: Multiple XSS
  • Serendipity 2.0.1: Blind SQL Injection
  • Serendipity 2.0.1: Persistent XSS
  • Serendipity 2.0.1: Code Execution
  • NibbleBlog 4.0.3: Code Execution
  • NibbleBlog 4.0.3: CSRF
  • Phorum 5.2.19: Reflected XSS (IIS only) and Open Redirect
  • Bolt 2.2.4: Code Execution
  • ModX Revolution 2.3.5-pl: Reflected Cross Site Scripting Vulnerability
  • CodoForum 3.3.1: Multiple SQL Injection Vulnerabilities
  • CodoForum 3.3.1: Multiple Cross Site Scripting Vulnerabilities
  • BigTree CMS 4.2.3: Multiple SQL Injection Vulnerabilities
  • BigTree CMS 4.2.3: Multiple Cross Site Scripting Vulnerabilities
  • Anchor CMS 0.9.2: XSS
  • Zen Cart 1.5.4: Code Execution and Information Leak
  • ZeusCart 4.0: XSS
  • ZeusCart 4.0: SQL Injection
  • ZeusCart 4.0: Code Execution
  • ZeusCart 4.0: CSRF
  • Pligg CMS 2.0.2: Code Execution & CSRF
  • Pligg CMS 2.0.2: Directory Traversal
  • Pligg CMS 2.0.2: Multiple SQL Injections
  • SQL Buddy 1.3.3: CSRF
  • SQL Buddy 1.3.3: XSS
  • Chyrp CMS 2.5.2: XSS
  • MiniBB 3.1.1: XSS
  • MyWebSQL 3.6: CSRF
  • OpenCart 2.0.3.1: CSRF

callus
Tel.: +49(0)30/ 52004 - 5222
xingcontact
Besuchen Sie unser Xing-Profil
twittercontact
Folgen Sie uns auf Twitter
contactus
Email: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!