Seminar OWASP ZAP – Manuelle Sicherheitstests mit Proxy, Breakpoints und Fuzzer

Automatische Scanner erkennen nur einen Teil möglicher Fehler. Manuelle Tests untersuchen Parameterbeziehungen, Zustandswechsel, Validierungsgrenzen und fachliche Seiteneffekte.

Das Seminar nutzt ZAP als transparentes Laborwerkzeug: Verkehr wird erfasst, verändert, wiederholt, systematisch variiert und mit Referenzantworten verglichen.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Proxyverkehr strukturieren und filtern
3. Breakpoints für Requests und Responses
4. Requester und Manual Request Editor
5. Encoding, Hashes und Datenrepräsentation
6. Fuzzer und Payloadstrategie
7. Ergebnisse vergleichen und Seiteneffekte prüfen
8. Evidenz und sichere Dokumentation
9. Praxisübungen und Arbeitsaufträge
10. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Manuelle Sicherheitstests mit ZAP methodisch planen, Requests und Responses kontrolliert verändern, Parameter fuzzinggestützt untersuchen und Befunde reproduzierbar belegen.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Proxyverkehr strukturieren und filtern

Eine saubere History ist Voraussetzung für reproduzierbare Tests.

1. Kernprozess in einer frischen Session aufzeichnen.
2. Hosts, Methoden, Statuscodes und Tags filtern.
3. Relevante Requests im Sites Tree lokalisieren.
4. Referenzrequests mit Notizen und Kontext sichern.

Kontrollpunkte: Jeder Test basiert auf bekanntem Referenzzustand; Fremdverkehr ist aus der Analyse entfernt.

2. Breakpoints für Requests und Responses

Breakpoints stoppen Nachrichten vor Versand oder Verarbeitung und erlauben gezielte Änderungen.

1. Globalen und URL-begrenzten Breakpoint unterscheiden.
2. Versteckte oder deaktivierte Felder ändern.
3. Clientseitige Validierung kontrolliert umgehen.
4. Responseänderung und Browserreaktion beobachten.

Kontrollpunkte: Änderung betrifft nur den vorgesehenen Request; Originalnachricht bleibt dokumentiert.

3. Requester und Manual Request Editor

Einzelrequests werden unabhängig vom Browser wiederholt und schrittweise reduziert.

1. Request aus History in den Requester übernehmen.
2. Cookies, Header und Body bewusst kontrollieren.
3. Parameter einzeln verändern und Antworten vergleichen.
4. Minimalen reproduzierbaren Request erstellen.

Kontrollpunkte: Reproduktion funktioniert ohne zufällige Browsernavigation; Sitzungsabhängigkeiten sind bekannt.

4. Encoding, Hashes und Datenrepräsentation

Viele Parameter verwenden URL-, Base64-, JSON- oder andere Kodierungen, die vor Manipulation korrekt verstanden werden müssen.

1. Datenrepräsentation und Zeichensatz identifizieren.
2. Encode/Decode/Hash-Werkzeuge kontrolliert verwenden.
3. Mehrfachkodierung und Normalisierung testen.
4. Server- und Clientinterpretation vergleichen.

Kontrollpunkte: Testpayload wird in der erwarteten Form übertragen; Kodierungsfehler werden nicht als Schwachstelle fehlinterpretiert.

5. Fuzzer und Payloadstrategie

Der Fuzzer variiert ausgewählte Positionen mit Payloadquellen und Prozessoren.

1. Geeignete Fuzz-Position präzise markieren.
2. Kleine, hypothesengeleitete Payloadliste erstellen.
3. Prozessoren für Token, Encoding oder Folgeparameter ergänzen.
4. Parallelität, Verzögerung und Ergebnisfilter einstellen.

Kontrollpunkte: Payloadmenge ist begründet; Fuzzer bleibt innerhalb der Betriebsgrenzen.

6. Ergebnisse vergleichen und Seiteneffekte prüfen

Statuscode und Antwortlänge sind nur Indikatoren. Fachliche Effekte benötigen zusätzliche Kontrollen.

1. Antworten nach Code, Größe, Zeit und Schlüsseltext clustern.
2. Anomalien mit Einzelrequest wiederholen.
3. Daten- oder Zustandsänderung durch erneutes Lesen bestätigen.
4. False Positives durch neutrale Gegenprobe ausschließen.

Kontrollpunkte: Befund ist unabhängig vom Fuzzer reproduzierbar; Seiteneffekt ist eindeutig nachgewiesen.

7. Evidenz und sichere Dokumentation

Manuelle Tests erzeugen häufig sensible Requests. Dokumentation wird auf notwendige Beweisdaten reduziert.

1. Original, Änderung und Gegenprobe nebeneinander sichern.
2. Tokens und personenbezogene Daten maskieren.
3. Voraussetzungen und Reihenfolge der Reproduktion beschreiben.
4. Retestrequest und erwartetes sicheres Verhalten festlegen.

Kontrollpunkte: Dritter kann den Test nachvollziehen; Evidenz enthält keine unnötigen Geheimnisse.

Praxisübungen und Arbeitsaufträge

• Breakpoint-Test zur Umgehung clientseitiger Validierung
• Reduktion eines Browserrequests auf einen minimalen Requester-Test
• Gezielte Encoding- und Normalisierungsprüfung
• Aufbau eines kleinen hypothesengeleiteten Fuzzers
• Clusterung und manuelle Bestätigung einer Anomalie
• Erstellung eines datensparsamen Befundnachweises

Zielgruppe

Penetration Tester, Application-Security-Teams, erfahrene Entwickler und technische Qualitätssicherung

Voraussetzungen

ZAP-Grundlagen, HTTP-Kenntnisse und Zugriff auf eine freigegebene Laboranwendung

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.