Seminar OWASP ZAP – Sequenzbasierte Scans und mehrstufige Geschäftsprozesse

Viele Schwachstellen treten erst in einer bestimmten Reihenfolge auf: Anmeldung, Auswahl, Reservierung, Änderung und Bestätigung bilden einen gemeinsamen Zustand. Einzelne isolierte Requests bilden solche Abläufe nicht zuverlässig ab.

ZAP-Sequenzen machen die Reihenfolge explizit und verbinden sie mit authentifizierten Sitzungen, dynamischen Parametern und aktiven Scanregeln.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Geschäftsprozess und Zustände modellieren
3. Referenzablauf erfassen und bereinigen
4. Sequenz importieren und strukturieren
5. Dynamische Werte und Sitzung behandeln
6. Sequenz aktiv scannen
7. Automation Framework und Wartung
8. Praxisübungen und Arbeitsaufträge
9. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Mehrstufige Geschäftsprozesse als stabile Sequenzen modellieren, zustandsabhängig scannen und in wiederholbare Automationspläne überführen.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Geschäftsprozess und Zustände modellieren

Der Prozess wird in fachliche Schritte, technische Requests und erwartete Zustandswechsel zerlegt.

1. Startzustand, Vorbedingungen und Testdaten definieren.
2. Jeden fachlichen Schritt dem auslösenden Request zuordnen.
3. Dynamische Kennungen, Tokens und Besitzbeziehungen markieren.
4. Erwarteten Endzustand und Rücksetzverfahren festlegen.

Kontrollpunkte: Jeder Request besitzt eine fachliche Funktion; irreversible Schritte sind ausgeschlossen oder rücksetzbar.

2. Referenzablauf erfassen und bereinigen

Ein erfolgreicher Ablauf wird über ZAP aufgezeichnet oder aus einer HAR-Datei importiert und anschließend auf relevante Nachrichten reduziert.

1. Frische Session und eindeutige Testdaten verwenden.
2. Prozess vollständig über den proxied Browser oder Client ausführen.
3. Statische Ressourcen und Nebenrequests entfernen.
4. Reihenfolge, Methoden, Bodies und Statuscodes kontrollieren.

Kontrollpunkte: Bereinigter Ablauf führt weiterhin zum Sollzustand; keine fremden Hosts verbleiben in der Sequenz.

3. Sequenz importieren und strukturieren

Die ausgewählten Requests werden als benannte Sequenz abgelegt und mit Context sowie Zielprozess verknüpft.

1. Requests in korrekter Reihenfolge zur Sequenz hinzufügen.
2. Sprechende Namen und Prozessbeschreibung vergeben.
3. Context und Benutzerbezug festlegen.
4. Sequenz in einer frischen Session manuell abspielen.

Kontrollpunkte: Wiederholung funktioniert ohne versteckte Browserhistorie; Fehler lässt sich einem konkreten Sequenzschritt zuordnen.

4. Dynamische Werte und Sitzung behandeln

IDs, CSRF-Tokens und andere Laufzeitwerte dürfen nicht als veraltete Konstanten in späteren Requests verbleiben.

1. Produzenten und Verbraucher dynamischer Werte identifizieren.
2. Session-Management, Anti-CSRF-Unterstützung oder Skripte passend einsetzen.
3. Benutzer- und objektbezogene Testdaten trennen.
4. Ablauf nach Tokenablauf und erneuter Anmeldung prüfen.

Kontrollpunkte: Lauf verwendet aktuelle statt aufgezeichneter Tokenwerte; Sitzungswechsel vermischt keine Benutzer.

5. Sequenz aktiv scannen

Der Sequenzscanner variiert Eingaben innerhalb des geordneten Ablaufs und stellt den notwendigen Zustand vor jedem Test wieder her.

1. Zielsequenz und Scan Policy auswählen.
2. Gefährliche Parameter oder Aktionen ausschließen.
3. Laufzeit, Fehlerrate und Zustandsdrift überwachen.
4. Treffer mit kontrollierter Sequenz und Gegenprobe bestätigen.

Kontrollpunkte: Scan verlässt weder Reihenfolge noch Scope; Befund ist aus definiertem Startzustand reproduzierbar.

6. Automation Framework und Wartung

Import und Sequenzscan werden als explizite Jobs in einen Automationsplan aufgenommen.

1. Context und Authentifizierung vor Sequenzjobs definieren.
2. Sequenzimport und sequence-activeScan konfigurieren.
3. Assertions, Exitstatus und Berichtsjob ergänzen.
4. Sequenz bei Prozess-, API- oder Rollenänderungen versioniert aktualisieren.

Kontrollpunkte: Automationslauf benötigt keine manuelle Vorarbeit; Version der Sequenz passt zur Zielanwendung.

Praxisübungen und Arbeitsaufträge

• Modellierung eines mehrstufigen Bestell- oder Buchungsprozesses
• Aufzeichnung und Bereinigung eines Referenzablaufs
• Aufbau einer Sequenz mit dynamischem Token
• Kontrollierter Sequence Active Scan
• Überführung in einen Automationsplan mit Bericht und Exitstatus

Zielgruppe

Application-Security-Teams, Penetration Tester, Qualitätssicherung und Entwickler komplexer Web- oder API-Prozesse

Voraussetzungen

ZAP-Grundlagen, HTTP- und Session-Kenntnisse sowie ein freigegebener mehrstufiger Laborprozess

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.