Seminar OWASP ZAP – Authentifizierung und Session-Management

Ein authentifizierter Scan ist nur dann belastbar, wenn ZAP Anmeldung, Sitzungszustand, Abmeldung und erneute Anmeldung eindeutig erkennt. Fehler in dieser Kette führen entweder zu oberflächlichen Scans oder zu vermischten Identitäten.

Die Schulung trennt die fünf notwendigen Bausteine und führt sie anschließend zu stabilen Desktop- und Automationskonfigurationen zusammen.

Inhaltsübersicht

1. Seminarziel und Arbeitsweise
2. Authentifizierungsfluss analysieren
3. Context und Session-Management konfigurieren
4. Form- und JSON-basierte Anmeldung umsetzen
5. HTTP-, NTLM- und manuelle Verfahren einsetzen
6. Verifikationsstrategie und Benutzer prüfen
7. Browser- und skriptbasierte Anmeldung
8. Automatisierung und Fehlersuche
9. Praxisübungen und Arbeitsaufträge
10. Zielgruppe, Voraussetzungen und Arbeitsumgebung

Seminarziel

Authentifizierte Scans so konfigurieren und diagnostizieren, dass Benutzerzustand, Token, Rollen und Neuanmeldung reproduzierbar funktionieren.

Arbeitsweise

Vortrag, Demonstrationen und praktische Übungen werden in kurzen Arbeitszyklen verbunden. Jeder Themenblock beginnt mit einem klar abgegrenzten Testziel, führt über die Konfiguration und Durchführung zur fachlichen Prüfung und endet mit dokumentierten Kontrollpunkten. Belastende oder angreifende Funktionen werden ausschließlich in ausdrücklich freigegebenen Labor- und Zielumgebungen eingesetzt.

Schrittweise Seminarinhalte

1. Authentifizierungsfluss analysieren

Der reale Login wird im Browser über ZAP aufgezeichnet und in einzelne technische Schritte zerlegt.

1. Loginseite, Request, Redirects und Zielzustand erfassen.
2. Credentials, CSRF-Tokens, Cookies und Header identifizieren.
3. Abmelde- und Ablaufverhalten beobachten.
4. Mögliche Mehrfaktor-, SSO- oder Browserabhängigkeiten kennzeichnen.

Kontrollpunkte: Logged-in und Logged-out Zustände sind technisch unterscheidbar; keine Credentials werden in Klartextdokumentationen übernommen.

2. Context und Session-Management konfigurieren

Der Context begrenzt die Anwendung; die Session-Methode bestimmt, wie ZAP Sitzungen verfolgt und fortführt.

1. Include- und Exclude-Regeln für den vollständigen Loginfluss setzen.
2. Cookie-, HTTP- oder skriptbasiertes Session-Management auswählen.
3. Session-Token und Erneuerungsverhalten prüfen.
4. Kontextgrenzen gegen externe Identitätsdienste kontrollieren.

Kontrollpunkte: Anwendungs- und Identity-Endpunkte sind korrekt abgegrenzt; Sitzungen verschiedener Benutzer bleiben getrennt.

3. Form- und JSON-basierte Anmeldung umsetzen

Klassische Formulare und API-Logins werden mit den passenden Requestparametern und Tokenbehandlungen konfiguriert.

1. Loginrequest als Authentifizierungsrequest markieren.
2. Benutzer- und Passwortparameter zuordnen.
3. Anti-CSRF-Token erkennen und weiterreichen.
4. Erfolgreiche und fehlgeschlagene Anmeldung mit Testbenutzern prüfen.

Kontrollpunkte: Fehlende oder falsche Credentials führen eindeutig zum Logged-out Zustand; Tokenwerte werden pro Sitzung aktualisiert.

4. HTTP-, NTLM- und manuelle Verfahren einsetzen

Nicht formularbasierte Mechanismen benötigen andere Credentials und eine passende Sitzungslogik.

1. Basic-, Digest- oder NTLM-Anforderungen erkennen.
2. Benutzerdaten sicher im ZAP-Benutzerobjekt hinterlegen.
3. Manuelle Authentifizierung für nicht automatisierbare Sonderfälle verwenden.
4. Grenzen manueller Verfahren bei Ablauf und Neuanmeldung dokumentieren.

Kontrollpunkte: Header werden nur an die vorgesehenen Hosts gesendet; manuelle Sitzungen besitzen einen klaren Gültigkeitszeitraum.

5. Verifikationsstrategie und Benutzer prüfen

ZAP muss erkennen, ob ein Request angemeldet oder abgemeldet ist. Diese Entscheidung steuert automatische Neuanmeldungen.

1. Logged-in und Logged-out Indikatoren auswählen.
2. Indikatoren gegen mehrere Seitentypen testen.
3. Benutzer mit getrennten Credentials anlegen.
4. Forced User Mode und benutzerspezifische Scans kontrolliert einsetzen.

Kontrollpunkte: Indikatoren sind nicht von wechselnden Nutzdaten abhängig; jeder Benutzer erreicht nur seine vorgesehene Rolle.

6. Browser- und skriptbasierte Anmeldung

Komplexe SSO-, JavaScript- oder mehrstufige Abläufe werden über Browseraufzeichnung, Selenium oder eigene Skripte abgebildet.

1. Geeignete Browserinteraktion aufzeichnen oder skripten.
2. Dynamische Felder und Redirectketten behandeln.
3. Credentials als Parameter statt als Quelltext hinterlegen.
4. Fehlerpfade, Timeouts und erneute Anmeldung implementieren.

Kontrollpunkte: Skript funktioniert in einem frischen Profil; Fehler werden diagnostizierbar und ohne Secret-Ausgabe protokolliert.

7. Automatisierung und Fehlersuche

Die fertige Konfiguration wird in Automation Framework oder Headless-Betrieb übertragen und mit Statistiken überwacht.

1. Context und Benutzer in einen Automationsplan übernehmen.
2. Authentifizierungsdiagnose und Sessionstatistiken auswerten.
3. Typische Ursachen wie falscher Scope, Redirects, CSRF und abgelaufene Tokens isolieren.
4. Stabilitätscheck über mehrere aufeinanderfolgende Scans durchführen.

Kontrollpunkte: Automatisierter Lauf benötigt keine manuelle Browseraktion; Fehler lassen sich einem konkreten Authentifizierungsschritt zuordnen.

Praxisübungen und Arbeitsaufträge

• Aufzeichnung und Analyse eines Formular- und eines JSON-Logins
• Konfiguration von Cookie-Session, Verifikationsstrategie und zwei Benutzern
• Fehlersuche bei ablaufendem CSRF-Token
• Aufbau eines skript- oder browserbasierten Loginablaufs
• Übertragung der Konfiguration in einen wiederholbaren Automationslauf

Zielgruppe

Penetration Tester, Application-Security-Teams, DevSecOps Engineers und technische Qualitätssicherung mit authentifizierten Anwendungen

Voraussetzungen

Sichere ZAP-Grundlagen, HTTP-Kenntnisse und Zugriff auf eine Testanwendung mit mindestens zwei Benutzerkonten

Arbeitsumgebung

Verwendet werden eine isolierte ZAP-Installation oder ein geeigneter Container, ein getrenntes Browserprofil, eine ausdrücklich freigegebene Laboranwendung, vorbereitete Testkonten und versionskontrollierbare Konfigurationsdateien. Produktive Ziele, persönliche Konten und nicht genehmigte Drittsysteme sind ausgeschlossen.