🌐

Web & API Security

Tools für Web-Anwendungs- und API-Sicherheitstests. Von Proxy-basierten Analysen bis zu automatisierten Scannern.

Typische Prüfbereiche

Authentication & Authorization

Login-Mechanismen, Session-Management, RBAC, JWT-Validation, OAuth-Flows

Input Validation

XSS, SQL Injection, Command Injection, Path Traversal, XXE

API Security

REST/GraphQL-Endpoints, Rate-Limiting, API-Keys, CORS, Content-Type-Validation

Business Logic

Workflow-Manipulation, Race Conditions, Price-Tampering, Privilege-Escalation

Session & State

Cookie-Security, CSRF-Protection, Session-Fixation, Logout-Funktionalität

Misconfigurations

Debug-Modi, Exposed Admin-Panels, Directory-Listing, Sensitive-Data-Exposure

Tools (6)

Alle Tools sind für autorisierte Sicherheitsprüfungen konzipiert und erfordern eine schriftliche Freigabe.

Burp Suite

Fortgeschritten

Intercepting-Proxy zur manuellen Analyse von Web-Requests und API-Aufrufen

Hauptfunktionen:

  • •Request/Response-Analyse
  • •Session-Management-Prüfung
  • •Parameter-Manipulation

Typische Verwendung:

  • →Setzen als Browser-Proxy zur Verkehrsmitschrift
  • →Manuelle Analyse kritischer Funktionen (Login, Checkout, Admin-Bereiche)

Artefakte:

HTTP-Conversation-LogsScreenshots von FindingsRequest/Response-Beispiele

Hinweise:

Nur auf definierten Test-Umgebungen einsetzen

#web#api#proxy#manuell

OWASP ZAP

Einsteiger

Open-Source Web Application Security Scanner mit Proxy-Funktionalität

Hauptfunktionen:

  • •Automatisiertes Crawling
  • •Passive Schwachstellen-Analyse
  • •Active Scanning (kontrolliert)

Typische Verwendung:

  • →Baseline-Scan für initiale Übersicht
  • →Passive Analyse während manuellem Testing

Artefakte:

Scan-Reports (HTML/JSON)Alert-Liste nach SchweregradSite-Map

Hinweise:

Active Scans nur nach Freigabe

#web#api#scanner#opensource

Nuclei

Fortgeschritten

Template-basierter Schwachstellen-Scanner für schnelle Checks bekannter Issues

Hauptfunktionen:

  • •CVE-Checks
  • •Misconfiguration-Detection
  • •Exposed-Panel-Suche

Typische Verwendung:

  • →Initiales Scanning auf bekannte Schwachstellen
  • →Regelmäßige Baseline-Checks

Artefakte:

JSON/Markdown-ReportsCVE-Liste mit SeverityBetroffene URLs

Hinweise:

Rate-Limits konfigurieren

#web#cve#scanner#templates

feroxbuster

Einsteiger

Rekursiver Content-Discovery-Scanner für versteckte Pfade und Dateien

Hauptfunktionen:

  • •Directory/File Enumeration
  • •Rekursive Suche
  • •Multi-Threading

Typische Verwendung:

  • →Asset-Inventarisierung
  • →Aufdecken vergessener Admin-Panels oder Backup-Files

Artefakte:

Liste gefundener PfadeStatus-Code-ÜbersichtGrößen-/Content-Type-Infos

Hinweise:

Request-Rate begrenzen

#web#discovery#enumeration

WhatWeb

Einsteiger

Fingerprinting-Tool zur Identifikation von Web-Technologien

Hauptfunktionen:

  • •CMS-Erkennung
  • •Framework-Detection
  • •Server-Fingerprinting

Typische Verwendung:

  • →Initiale Tech-Stack-Analyse
  • →Versionserkennung für CVE-Research

Artefakte:

Tech-Stack-ListeVersions-InformationenPlugin-Inventory

Hinweise:

Non-invasiv

#web#fingerprinting#recon

SQLmap

Experte

SQL-Injection-Detection und -Exploitation (nur zur Verifikation)

Hauptfunktionen:

  • •Automatische SQLi-Detection
  • •DBMS-Fingerprinting
  • •Proof-of-Concept für Datenzugriff

Typische Verwendung:

  • →Nur nach manueller Identifikation eines Verdachts
  • →Verifikation mit minimalem Zugriff

Artefakte:

Injection-Point-NachweisDBMS-Type/VersionBeispiel-Query

Hinweise:

NUR mit expliziter Freigabe

#web#sqli#fortgeschritten#vorsicht

Typische Deliverables

  • 📄Strukturierter Pentest-Report mit priorisierten Findings
  • 📸Screenshots und Request/Response-Beispiele als Evidenz
  • 🎯Risiko-Matrix mit Business-Impact-Bewertung
  • 🔧Konkrete Remediation-Empfehlungen mit Code-Beispielen
  • 📊Executive Summary für Management

Empfohlener Einstieg (für Anfänger)

  1. 1.Starten Sie mit OWASP ZAP für einen automatisierten Baseline-Scan
  2. 2.Nutzen Sie WhatWeb für die Tech-Stack-Identifikation
  3. 3.Führen Sie mit feroxbuster eine Content-Discovery durch
  4. 4.Setzen Sie Burp Suite für die manuelle Analyse kritischer Funktionen ein
  5. 5.Verwenden Sie Nuclei für schnelle CVE-Checks