Seminar ProjectDiscovery Nuclei – HTTP- und API-Template-Engineering

Belastbare HTTP- und API-Templates entstehen nicht durch das bloße Abbilden eines Requests. Entscheidend sind eine klare Prüfhypothese, minimale Requests, robuste Nachweise, kontrollierte Variablen und automatisierte positive sowie negative Tests. Das Seminar entwickelt dafür einen vollständigen Engineering-Prozess.

Inhaltsübersicht

• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
• Modul 1: Prüfhypothese und Template-Spezifikation
• Modul 2: HTTP-Request-Modellierung
• Modul 3: Variablen, Helper und dynamische Daten
• Modul 4: Matcher, DSL und kombinierte Nachweise
• Modul 5: Extraktoren und interne Werte
• Modul 6: Mehrstufige HTTP- und API-Abläufe
• Modul 7: API-spezifische Testdaten und strukturierte Bodies
• Modul 8: Qualitätssicherung, Review und Regression
• Praxisübungen
• Methodik

Zielgruppe

• Application-Security- und Product-Security-Engineering
• Pentest-Teams und technische Schwachstellenforschung mit autorisiertem Auftrag
• DevSecOps- und DAST-Verantwortliche
• Softwareentwicklung und Qualitätssicherung mit eigenen Prüfkatalogen

Voraussetzungen

• Gute Kenntnisse zu HTTP, REST, Headern, Cookies, Statuscodes und JSON
• Nuclei-Grundkenntnisse einschließlich Template-Auswahl und Ergebnisinterpretation
• Grundkenntnisse in YAML und regulären Ausdrücken
• Laboranwendung mit bekannten positiven und negativen Testzuständen

Lernziele

• Prüfhypothesen in minimale und verständliche Templates überführen
• Raw- und modellierte HTTP-Requests passend einsetzen
• Variablen, Helper-Funktionen und dynamische Werte sicher verwenden
• Matcher und Extraktoren zu belastbarer Nachweislogik kombinieren
• Mehrstufige HTTP- und API-Abläufe modellieren
• Templates mit Metadaten, Tests, Reviews und Versionskontrolle qualitätssichern

Seminarinhalte

Die Inhalte werden vom sicheren Aufbau einer Laborumgebung bis zur reproduzierbaren Anwendung in Entwicklungs-, Betriebs- und Sicherheitsprozessen erarbeitet. Jeder Themenblock verbindet fachliche Einordnung, Konfiguration, Ausführung, Auswertung und Qualitätssicherung.

1. Prüfhypothese und Template-Spezifikation

Vor der YAML-Umsetzung wird festgelegt, welcher Zustand erkannt werden soll, welche Requests notwendig sind und welche Signale den Nachweis tragen.

Schritt-für-Schritt-Vorgehen

1. Technischen Prüfgegenstand und Sicherheitsrelevanz in einem Satz formulieren
2. Positiven, negativen und mehrdeutigen Zielzustand beschreiben
3. Minimal notwendige Requests und erlaubte Seiteneffekte festlegen
4. Stabile Nachweissignale und mögliche Fehlalarmquellen erfassen
5. Template-ID, Name, Schweregrad, Tags und Klassifikation konsistent planen

2. HTTP-Request-Modellierung

Modellierte und rohe Requests bieten unterschiedliche Kontrolle. Auswahl, Pfadbildung, Header und Body werden so knapp wie möglich gehalten.

Schritt-für-Schritt-Vorgehen

1. Einen funktionierenden Referenzrequest außerhalb des Templates nachvollziehen
2. Request zunächst mit Methode, Pfad und minimalen Headern modellieren
3. Nur bei begründetem Bedarf auf einen rohen Request wechseln
4. Weiterleitungen, Hostbezug und Inhaltskodierung bewusst konfigurieren
5. Tatsächlich gesendeten Request mit der Spezifikation vergleichen

3. Variablen, Helper und dynamische Daten

Wiederverwendbare Werte werden zentral definiert, dynamische Testwerte kontrolliert erzeugt und eindeutig im Ergebnis nachvollzogen.

Schritt-für-Schritt-Vorgehen

1. Konstante Werte und zielabhängige Variablen voneinander trennen
2. Dynamischen Marker mit geeignetem Helper erzeugen
3. Marker in Pfad, Header oder Body an genau einer Stelle einsetzen
4. Auswertung auf den gleichen Marker beziehen
5. Deterministische und zufällige Werte hinsichtlich Reproduzierbarkeit vergleichen

4. Matcher, DSL und kombinierte Nachweise

Mehrere Antwortmerkmale werden logisch verknüpft. DSL-Ausdrücke ermöglichen Vergleiche von Status, Inhalt, Länge, Dauer und extrahierten Werten.

Schritt-für-Schritt-Vorgehen

1. Primäres Nachweissignal und mindestens ein unterstützendes Signal festlegen
2. Einfache Wort-, Status- oder Regex-Matcher einzeln testen
3. Matcher-Bedingungen zu einer nachvollziehbaren UND- oder ODER-Logik verbinden
4. Komplexere Abhängigkeit als lesbaren DSL-Ausdruck formulieren
5. Matcher gegen positive, negative und ähnliche aber unverwundbare Antworten prüfen

5. Extraktoren und interne Werte

Extraktoren liefern Ergebnisdetails oder Werte für nachfolgende Requests. Format, Mehrfachtreffer und fehlende Werte werden ausdrücklich behandelt.

Schritt-für-Schritt-Vorgehen

1. Zu extrahierenden Wert und seine fachliche Verwendung bestimmen
2. Geeigneten Extraktortyp für Header, Body, JSON oder Regex auswählen
3. Trefferbereich so eng wie möglich begrenzen
4. Fehlenden und mehrfachen Treffer als Testfall berücksichtigen
5. Internen Wert in einem nachfolgenden Request verwenden und auf Konsistenz prüfen

6. Mehrstufige HTTP- und API-Abläufe

Zustandsabhängige Prüfungen verbinden mehrere Requests. Vorbedingungen, Extraktion und Abschlussnachweis werden als klarer Datenfluss modelliert.

Schritt-für-Schritt-Vorgehen

1. Ablaufdiagramm mit Startrequest, Zustandsgewinnung und Nachweisrequest erstellen
2. Ersten Request ausführen und benötigten Wert extrahieren
3. Extraktionsfehler vor dem Folge-Request eindeutig abfangen
4. Folge-Request mit internem Wert und minimalen Seiteneffekten senden
5. Abschlussmatcher auf den fachlich relevanten Endzustand ausrichten

7. API-spezifische Testdaten und strukturierte Bodies

JSON- und formularbasierte APIs benötigen gültige Pflichtfelder, Datentypen und kontrollierte Testobjekte. Testdaten werden eindeutig markiert und bereinigt.

Schritt-für-Schritt-Vorgehen

1. API-Operation und Schema der Pflichtfelder analysieren
2. Minimal gültigen Request-Body mit eindeutigem Testmarker erstellen
3. Content-Type, Authentifizierung und Fehlerantworten prüfen
4. Erzeugte Objektkennung extrahieren und für die Verifikation verwenden
5. Temporäres Testobjekt nach dem Nachweis kontrolliert löschen

8. Qualitätssicherung, Review und Regression

Ein Template gilt erst nach reproduzierbaren Tests, Metadatenprüfung und fachlichem Review als einsatzbereit. Änderungen werden gegen feste Testzustände geprüft.

Schritt-für-Schritt-Vorgehen

1. Syntax- und Template-Validierung in den Entwicklungsablauf aufnehmen
2. Positiven und negativen Laborzustand automatisiert ausführen
3. Request-Anzahl, Laufzeit und Nebenwirkungen erfassen
4. Peer-Review anhand einer Checkliste für Nachweis, Sicherheit und Metadaten durchführen
5. Version, Änderungsgrund und Regressionsergebnis gemeinsam ablegen

Praxisübungen

• Spezifikation einer Prüfhypothese und Umsetzung als minimales HTTP-Template
• Vergleich modellierter und roher Requests für denselben Laborfall
• Kombination mehrerer Matcher mit einem DSL-Ausdruck
• Extraktion eines dynamischen Werts und Nutzung in einem Folge-Request
• API-Template mit strukturiertem Body, Testobjekt und Bereinigung
• Aufbau positiver und negativer Regressionstests mit Review-Checkliste

Methodik

• Fachliche Einordnung mit kompakten Demonstrationen
• Nachvollziehbare Schritt-für-Schritt-Übungen in einer isolierten Laborumgebung
• Analyse typischer Fehlkonfigurationen, Fehlalarme und Betriebsrisiken
• Übertragung der erarbeiteten Muster auf eigene technische und organisatorische Rahmenbedingungen