Penetration-Test-Leitfaden basierend auf OWASP + Extra

Diese Anleitung richtet sich an Penetrationstester, die nach den geeigneten Testfällen suchen, die während eines Penetrationstestprojekts erforderlich sind. Ich habe den OWASP Testing Guide v4 aus meiner Sicht neu angeordnet, einschließlich 9 Testklassen, und jede Klasse enthält mehrere Testfälle, die gegen das Ziel durchgeführt werden. Jeder Testfall deckt mehrere OWASP-Tests ab, was auch für das Berichtsdokument nützlich ist. Ich habe außerdem 15 zusätzliche Testfälle hinzugefügt, die mit EXTRA-TEST gekennzeichnet sind. Ich hoffe, dass es sowohl in Penetrationstestprojekten als auch bei Bug-Bounty nützlich sein wird.

TODO:

1. Ressourcen für jeden Test hinzufügen.

Informationssammlung

• • Fingerabdruck-Technologien * Fingerabdruck-Webserver (OTG-INFO-002) * Anwendungen auf dem Webserver auflisten (OTG-INFO-004) * Webanwendungs-Framework-Fingerabdruck (OTG-INFO-008) * Webanwendungs-Fingerabdruck (OTG-INFO-009)
• • Informationsleckage * Suchmaschinen-Recherche und -Aufklärung auf Informationsleckage durchführen (OTG-INFO-001) * Webserver-Metadateien auf Informationsleckage überprüfen (OTG-INFO-003) * Webseiten-Kommentare und Metadaten auf Informationsleckage überprüfen (OTG-INFO-005) * Analyse von Fehlercodes (OTG-ERR-001) * Analyse von Stack-Traces (OTG-ERR-002) * Fuzzing auf versteckte und sensible Dateien oder Verzeichnisse durchführen (EXTRA-TEST-014)
• • Verzeichnisindizierung * Nach Verzeichnisindizierung suchen (EXTRA-TEST-001)
• • Speichern sensibler Informationen auf der Client-Seite * Lokalen Speicher testen (OTG-CLIENT-012)

Konfigurations- und Bereitstellungsmanagement

• • Infrastruktur- und Anwendungsadmin-Schnittstellen auflisten * Infrastruktur- und Anwendungsadmin-Schnittstellen auflisten (OTG-CONFIG-005) * Netzwerk-/Infrastrukturkonfiguration testen (OTG-CONFIG-001)
• • Versteckte Ressourcen erkennen * Alte, Backup- und nicht referenzierte Dateien auf sensible Informationen überprüfen (OTG-CONFIG-004)
• • HTTP-Sicherheitsheader * Auf fehlende HTTP-Sicherheitsheader testen (EXTRA-TEST-002)

Identitätsmanagement und Authentifizierung

• • Sichere Authentifizierungsklasse * Benutzerregistrierungsprozess testen (OTG-IDENT-002) * Auf schwachen Aussperrmechanismus testen (OTG-AUTHN-003) * Auf Umgehung des Authentifizierungsschemas testen (OTG-AUTHN-004) * Funktion 'Passwort merken' testen (OTG-AUTHN-005) * Auf Schwäche des Browser-Caches testen (OTG-AUTHN-006) * Auf schwache Sicherheitsfrage/-antwort testen (OTG-AUTHN-008) * Auf schwache Passwortänderungs- oder -rücksetzfunktionen testen (OTG-AUTHN-009) * Auf schwächere Authentifizierung in alternativem Kanal testen (OTG-AUTHN-010) * Auf schwache oder nicht durchgesetzte Benutzernamenrichtlinie testen (OTG-IDENT-005) * Auf Standard-Anmeldedaten testen (OTG-AUTHN-002) * Auf Umgehung der Zwei-Faktor-Authentifizierung testen (EXTRA-TEST-012)
• • Benutzernamen-Enumeration * Auf Konto-Enumeration und erratbare Benutzerkonten testen (OTG-IDENT-004)
• • Testen auf Wiederherstellung sensibler Informationen * Auf Wiederherstellung sensibler Informationen aus der Datenbank testen (EXTRA-TEST-003)
• • Testen gegen Brute-Force-Angriffe * Gegen Brute-Force-Angriff testen (EXTRA-TEST-004)
• • Passwortrichtlinie * Auf schwache Passwortrichtlinie testen (OTG-AUTHN-007)
• • Testen auf SSL bei Benutzerauthentifizierung * Auf Anmeldedaten, die über einen verschlüsselten Kanal übertragen werden, testen (OTG-AUTHN-001)

Autorisierung und Grenzwerttests

• • Benutzerzugriffskontrolle * Rolendefinitionen testen (OTG-IDENT-001) * Konto-Bereitstellungsprozess testen (OTG-IDENT-003) * Auf Umgehung des Autorisierungsschemas testen (OTG-AUTHZ-002) * Auf Privilegieneskalation testen (OTG-AUTHZ-003) * Auf HTTP-Verb-Manipulation testen (OTG-INPVAL-003) * Auf JSON-Web-Token-Fehler testen (EXTRA-TEST-006) * Cross-Origin-Resource-Sharing testen (OTG-CLIENT-007)
• • Datei-Inklusionen * Verzeichnis-Traversal/Datei-Inklusion testen (OTG-AUTHZ-001)
• • Ausführung nach Weiterleitung * Ausführung nach Weiterleitung (EXTRA-TEST-005)
• • Cross-Site-Request-Forgery * Auf Cross-Site-Request-Forgery (CSRF) testen (OTG-SESS-005)
• • Sicherer Dateiupload * Upload unerwarteter Dateitypen testen (OTG-BUSLOGIC-008) * Upload schädlicher Dateien testen (OTG-BUSLOGIC-009)
• • Unsichere direkte Objektverweise * Auf unsichere direkte Objektverweise testen (OTG-AUTHZ-004)
• • Sichere Captcha-Implementierung * Auf sicheren Captcha-Workflow testen (EXTRA-TEST-007)

Cookie- und Sitzungsverwaltung

• • Testen auf Cookie-Attribute * Auf Cookie-Attribute testen (OTG-SESS-002)
• • Sichere Sitzungsverwaltung * Auf Umgehung des Sitzungsverwaltungsschemas testen (OTG-SESS-001) * Auf Session-Fixation testen (OTG-SESS-003) * Auf exponierte Sitzungsvariablen testen (OTG-SESS-004) * Abmeldefunktionalität testen (OTG-SESS-006) * Sitzungs-Timeout testen (OTG-SESS-007) * Auf Session-Puzzling testen (OTG-SESS-008)