Seminar OWASP ZAP – Client Spider und moderne Webanwendungen

Traditionelles Link-Crawling erfasst viele Single-Page-Anwendungen nur unvollständig. Navigation entsteht im DOM, in Browserereignissen, Fragmenten, Storage und dynamisch erzeugten Requests.

Der Client Spider arbeitet mit von ZAP gestarteten Browsern und der Browser Extension. Dadurch werden Client Map, Aufgaben und Nachrichten für eine nachvollziehbare Exploration moderner Oberflächen verfügbar.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Anwendungstyp und Crawlingstrategie bestimmen
3. Client Side Integration und Browser vorbereiten
4. Scope und Client-Spider-Optionen konfigurieren
5. Authentifizierte Exploration durchführen
6. Client Map, Tasks und Messages auswerten
7. Coverage vergleichen und Lücken schließen
8. Praxisübungen und Arbeitsaufträge
9. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Moderne Webanwendungen mit dem Client Spider kontrolliert erkunden, Abdeckung messen, authentifizierte Bereiche erfassen und Discovery-Probleme reproduzierbar diagnostizieren.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Anwendungstyp und Crawlingstrategie bestimmen

Zuerst wird entschieden, welche Teile traditionell, browserbasiert oder über API-Import erfasst werden.

1. Serverseitige und clientseitige Navigation unterscheiden.
2. Startpunkte, Rollen und relevante Benutzerpfade festlegen.
3. Third-Party-Ressourcen und externe Identitätsdienste kennzeichnen.
4. Abdeckungsziel und maximale Laufzeit definieren.

Kontrollpunkte: Jeder Discovery-Mechanismus besitzt einen klaren Zweck; externe Ressourcen werden nicht versehentlich aktiv erkundet.

2. Client Side Integration und Browser vorbereiten

Browser Extension, WebDriver und ZAP-Browserprofil bilden die technische Grundlage.

1. Unterstützten Browser aus ZAP starten.
2. Extension-Verbindung und API-Schlüssel prüfen.
3. Proxy- und Zertifikatsvertrauen kontrollieren.
4. Client Map bei manueller Navigation beobachten.

Kontrollpunkte: Browserereignisse erscheinen in der Client Map; Testprofil ist von persönlichen Browserdaten getrennt.

3. Scope und Client-Spider-Optionen konfigurieren

Scope Check, Crawl-Tiefe, Kindergrenzen, Wartezeiten und Browseranzahl steuern Abdeckung und Ressourcenbedarf.

1. Context und Start-URL festlegen.
2. Flexible oder strikte Behandlung externer Ressourcen auswählen.
3. Crawl-Tiefe und maximale Kinder an Anwendungsstruktur anpassen.
4. Wartezeiten und parallele Browser anhand dynamischer Inhalte einstellen.

Kontrollpunkte: Out-of-Scope-Inhalte werden nicht erkundet; Parallelität überlastet weder Scanner noch Ziel.

4. Authentifizierte Exploration durchführen

Der Client Spider kann mit ZAP-Benutzern und aktivierten Selenium-Skripten arbeiten.

1. Stabile Authentifizierung und Verifikation vorbereiten.
2. Benutzer im Context auswählen.
3. Login- und Navigationsskripte bei Bedarf aktivieren.
4. Abmeldung, Tokenablauf und Rollenwechsel während des Crawls beobachten.

Kontrollpunkte: Client Spider bleibt über die gesamte Laufzeit angemeldet; Rollen werden in getrennten Läufen behandelt.

5. Client Map, Tasks und Messages auswerten

Die drei Sichtweisen zeigen Struktur, Arbeitsfortschritt und tatsächlichen Browserverkehr.

1. Neu hinzugefügte Knoten und Fragmente prüfen.
2. Hängende oder wiederholte Tasks identifizieren.
3. HTTP-Nachrichten mit sichtbaren UI-Aktionen korrelieren.
4. Storage- und DOM-relevante Einträge in der Client Map bewerten.

Kontrollpunkte: Kritische Benutzerpfade erscheinen in Map und Nachrichten; Endlosschleifen oder redundante Navigation sind begrenzt.

6. Coverage vergleichen und Lücken schließen

Client Spider, traditioneller Spider und manuelle Navigation werden anhand exportierter Strukturen verglichen.

1. Sites Tree und Client Map nach Lauf sichern.
2. Fehlende Endpunkte und Zustände bestimmen.
3. Formulare, Buttons und dynamische Elemente gezielt nachbearbeiten.
4. Crawlparameter oder Startzustand ändern und Vergleich wiederholen.

Kontrollpunkte: Coverage-Verbesserung ist messbar; Lücken werden mit Ursache statt nur mit URL-Liste dokumentiert.

Praxisübungen und Arbeitsaufträge

• Einrichtung eines isolierten ZAP-Browserprofils mit Client Side Integration
• Crawl einer Single-Page-Anwendung mit abgestimmten Scope- und Warteoptionen
• Authentifizierter Client-Spider-Lauf mit Benutzerkontext
• Vergleich von Client Map, Sites Tree und traditionellem Spider
• Diagnose einer nicht erreichbaren dynamischen Anwendungsfunktion

Zielgruppe

Penetration Tester, Application-Security-Teams, Frontend- und Testautomatisierungsverantwortliche sowie technische Qualitätssicherung

Voraussetzungen

ZAP-Grundlagen, Verständnis moderner Webanwendungen und Zugriff auf eine freigegebene JavaScript-Testanwendung

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.