Seminar DAST mit Burp Suite Professional: Scans und Befundprüfung

Seminarbeschreibung

Burp Suite Professional verbindet automatisierte Anwendungsscans mit Werkzeugen für gezielte manuelle Nachprüfungen. Das Seminar nutzt diese Verbindung, um aus einer Scannerwarnung einen technisch nachvollziehbaren Befund zu entwickeln. Dabei werden Konfiguration, erreichte Anwendungsbereiche und beobachtetes Verhalten gemeinsam betrachtet.

An einer vorbereiteten Anwendung werden Crawl und Audit eingerichtet, eine Anmeldung eingebunden und ausgewählte Ergebnisse im Repeater untersucht. Der Kurs konzentriert sich auf reproduzierbare DAST-Prüfungen und die sichere Bewertung ihrer Aussagekraft. Der Scanner der Professional-Edition ist Bestandteil der Übungen; die Community Edition deckt diesen automatisierten Anteil nicht ab. Die separate Plattform Burp Suite DAST wird begrifflich abgegrenzt, jedoch nicht administriert.

Lernziele

• Eine Burp-Testumgebung mit geeignetem Scope und nachvollziehbarer Projektstruktur einrichten.
• Crawl- und Audit-Konfiguration passend zur Testanwendung abstimmen.
• Sitzungsprobleme und Lücken im erfassten Testumfang erkennen.
• Automatische Befunde gezielt reproduzieren, dokumentieren und nachprüfen.

Seminarinhalte

1. Projekt, Browser und Scope
2. Crawl und erreichbare Funktionen
3. Audit und Scansteuerung
4. Authentifizierte Prüfungen
5. Manuelle Befundprüfung
6. Bericht und Nachprüfung

Projekt, Browser und Scope

Ein eigenes Schulungsprojekt bildet die Grundlage für reproduzierbare Tests. Browserprofil und Proxy werden geprüft, bevor der freigegebene Zielbereich erfasst wird.

• Projektdatei, Zielbereich und Ausschlüsse konfigurieren.
• Burp-Browser und Proxy-Historie verwenden.
• Ressourcenverbrauch und Testdatenrücksetzung vorbereiten.

Crawl und erreichbare Funktionen

Die Erfassung wird auf die Struktur der Anwendung abgestimmt. Fehlende Bereiche werden anhand der Site Map und aufgezeichneter Anfragen erkannt.

• Startpunkte und Erfassungsoptionen festlegen.
• Manuelle Navigation zur Ergänzung der Abdeckung nutzen.
• Formulare, Zustände und nicht erreichbare Funktionen prüfen.

Audit und Scansteuerung

Automatisierte Tests werden mit passenden Einstellungen ausgeführt. Das Seminar unterscheidet eine fachlich geeignete Konfiguration von einem möglichst großen, unkontrollierten Regelumfang.

• Voreinstellungen und angepasste Scan-Konfiguration vergleichen.
• Gezielte Anfragen und Teilbereiche prüfen.
• Ressourcenpools, Fehler und Abbruchbedingungen auswerten.

Authentifizierte Prüfungen

Ein geschützter Anwendungsbereich wird mit einer vorbereiteten Testidentität geprüft. Die Kontrolle richtet sich auf die fortbestehende Anmeldung während Erfassung und Audit.

• Anmeldedaten beziehungsweise aufgezeichnete Anmeldeabläufe einordnen.
• Session Handling für den Laborablauf abstimmen.
• Abmeldungen, Redirects und fehlgeschlagene Erneuerung erkennen.

Manuelle Befundprüfung

Ein automatischer Befund wird in isolierten Schritten untersucht. Repeater und Vergleich von Antworten helfen, die tatsächliche Auswirkung und mögliche Fehlinterpretationen zu bestimmen.

• Relevante Anfrage mit begrenzten Änderungen wiederholen.
• Beobachtete Auswirkung von einer Vermutung unterscheiden.
• Berechtigungslogik durch explizite manuelle Tests ergänzen.

Bericht und Nachprüfung

Die Ergebnisse werden für die Bearbeitung durch ein Entwicklungsteam aufbereitet. Nach einer vorbereiteten Korrektur wird derselbe begrenzte Test erneut ausgeführt.

• Fundstelle, Voraussetzungen und reproduzierbare Schritte festhalten.
• Sensible Sitzungsdaten aus Berichten entfernen.
• Korrektur und verbleibenden Testumfang dokumentieren.

Praktische Übungen

1. Ein Projekt für die Laboranwendung mit eindeutiger Zielabgrenzung erstellen.
2. Crawl und Audit ausführen und die erfassten Bereiche kontrollieren.
3. Eine angemeldete Funktion prüfen und einen Sitzungsfehler erkennen.
4. Einen Befund im Repeater reproduzieren und fachlich einordnen.
5. Die Behebung nachprüfen und eine bearbeitbare Befundbeschreibung erstellen.

Zielgruppe

Webentwickler, technische Softwaretester, Application-Security-Engineers und Sicherheitsverantwortliche mit praktischen Prüfaufgaben.

Voraussetzungen

HTTP- und Webanwendungskenntnisse sowie Verständnis von Cookies, Sitzungen und Parametern. Erste Erfahrung mit einem abfangenden Proxy ist hilfreich.

Schulungsumgebung

Burp Suite Professional mit gültiger Berechtigung pro benötigtem Arbeitsplatz, separatem Browserprofil und rücksetzbarer Laboranwendung. Die Bereitstellung der Professional-Lizenzen wird vor dem Termin festgelegt; die Community Edition genügt für die Scannerübungen nicht.

Weiterführende Seminare

• DAST mit ZAP: APIs und authentifizierte Anwendungen
• SAST/DAST: Befunde bewerten und Schwachstellen beheben