Seminar ProjectDiscovery Nuclei – Fuzzing und DAST für Webanwendungen

Fuzzing erzeugt nur dann belastbare Ergebnisse, wenn Eingriffsstellen, Vorbedingungen, Payloads und Nachweislogik präzise aufeinander abgestimmt sind. Das Seminar führt von der Analyse einer Webanwendung über die Entwicklung sicherer Prüfregeln bis zur reproduzierbaren Ausführung in einem begrenzten DAST-Prozess.

Inhaltsübersicht

• Zielgruppe
• Voraussetzungen
• Lernziele
• Seminarinhalte
• Modul 1: DAST-Modell, Prüfgrenzen und Testdaten
• Modul 2: Pre-Conditions und Auswahl relevanter Requests
• Modul 3: Fuzzing-Bereiche und Eingriffsstellen
• Modul 4: Payloads, Modi und Kombinationslogik
• Modul 5: Erkennungslogik, Analyzer und Fehlalarmkontrolle
• Modul 6: Out-of-Band-Verifikation
• Modul 7: Workflows, Automation und sichere Betriebsprofile
• Praxisübungen
• Methodik

Zielgruppe

• Application-Security-, Product-Security- und DAST-Teams
• Web- und API-Entwicklung mit Sicherheitsverantwortung
• Pentest- und Red-Team-Fachkräfte mit autorisiertem Prüfauftrag
• DevSecOps-Teams für automatisierte dynamische Sicherheitsprüfungen

Voraussetzungen

• Gute Kenntnisse zu HTTP, Request-Aufbau, Parametern, Cookies und Webanwendungslogik
• Praxiserfahrung mit Nuclei-Templates, Matchern, Extraktoren und DSL-Ausdrücken
• Grundverständnis typischer Web-Schwachstellen und sicherer Testdaten
• Isolierte Laboranwendung; keine Ausführung destruktiver Fuzzing-Regeln gegen produktive Systeme

Lernziele

• Geeignete Fuzzing-Eingriffsstellen und Vorbedingungen bestimmen
• Parameter, Header, Pfade und Request-Bodies kontrolliert verändern
• Payload-Modi und Kombinationsstrategien zielgerichtet auswählen
• Matcher, Extraktoren und Analyzer gegen Fehlalarme absichern
• Out-of-Band-Nachweise in einen nachvollziehbaren Prüfablauf integrieren
• Fuzzing-Profile mit Laufzeit-, Last- und Sicherheitsgrenzen automatisieren

Seminarinhalte

Die Inhalte werden vom sicheren Aufbau einer Laborumgebung bis zur reproduzierbaren Anwendung in Entwicklungs-, Betriebs- und Sicherheitsprozessen erarbeitet. Jeder Themenblock verbindet fachliche Einordnung, Konfiguration, Ausführung, Auswertung und Qualitätssicherung.

1. DAST-Modell, Prüfgrenzen und Testdaten

Der Prüfauftrag wird in konkrete Endpunkte, Parameterklassen und zulässige Veränderungen übersetzt. Ein Sicherheitsrahmen verhindert unkontrollierte Seiteneffekte.

Schritt-für-Schritt-Vorgehen

1. Anwendungsumfang, Testkonten und ausdrücklich ausgeschlossene Funktionen dokumentieren
2. Endpunkte nach Lese-, Schreib- und potenziell destruktiven Operationen klassifizieren
3. Testdaten, Rücksetzverfahren und maximale Request-Rate festlegen
4. Geeignete Nachweisziele und Abbruchbedingungen definieren
5. Einen Baseline-Request für jeden priorisierten Endpunkt sichern

2. Pre-Conditions und Auswahl relevanter Requests

Vorbedingungen begrenzen Fuzzing auf Requests, bei denen Methode, Pfad, Header oder Inhalt zum Prüfzweck passen. Dadurch sinken Last und Fehlerrisiko.

Schritt-für-Schritt-Vorgehen

1. Eigenschaften eines geeigneten Baseline-Requests identifizieren
2. Methode, Content-Type, Pfad oder Parameter als Vorbedingung formulieren
3. Positive und negative Beispiele gegen die Vorbedingung testen
4. Zu breite Auswahl durch zusätzliche fachliche Kriterien einschränken
5. Trefferquote der Vorbedingung mit einer protokollierten Request-Stichprobe prüfen

3. Fuzzing-Bereiche und Eingriffsstellen

Parameter, Header, Cookies, Pfadsegmente und strukturierte Bodies werden gezielt adressiert. Unveränderliche Felder und sicherheitskritische Steuerparameter bleiben geschützt.

Schritt-für-Schritt-Vorgehen

1. Request in Pfad, Query, Header, Cookie und Body zerlegen
2. Veränderbare Schlüssel und Werte anhand des Prüfzwecks auswählen
3. Ausschlusslisten für Sitzungswerte, Idempotenzschlüssel und Steuerparameter definieren
4. Eine einzelne Eingriffsstelle verändern und Request-Differenz kontrollieren
5. Mehrere Eingriffsstellen erst nach erfolgreichem Einzeltest kombinieren

4. Payloads, Modi und Kombinationslogik

Payloads werden nach Hypothese, Datentyp und erwarteter Reaktion strukturiert. Kombinationsmodi werden so gewählt, dass Abdeckung und Laufzeit nachvollziehbar bleiben.

Schritt-für-Schritt-Vorgehen

1. Payload-Sätze nach Datentyp und Prüfziel gruppieren
2. Ersetzungs-, Präfix-, Suffix- oder Einfügungslogik begründet auswählen
3. Einzelne Payload-Reihe mit kontrollierter Request-Anzahl testen
4. Kombinationsmodus und maximale Variantenanzahl berechnen
5. Payloads mit eindeutigen Markern für die spätere Nachverfolgung versehen

5. Erkennungslogik, Analyzer und Fehlalarmkontrolle

Statuscodes allein sind selten belastbar. Mehrere Signale, Response-Differenzen und Analyzer werden kombiniert und mit Negativtests überprüft.

Schritt-für-Schritt-Vorgehen

1. Erwartete verwundbare und unverwundbare Reaktion als Hypothese beschreiben
2. Status, Header, Body-Merkmale, Größen- oder Zeitdifferenzen erfassen
3. Matcher und DSL-Bedingungen zu einer eindeutigen Nachweislogik verbinden
4. Analyzer nur mit dokumentierter Baseline und Toleranzwerten einsetzen
5. Mindestens einen positiven, einen negativen und einen Grenzfall automatisiert testen

6. Out-of-Band-Verifikation

Serverseitige Interaktionen ohne direkte Response-Spur werden über kontrollierte externe Rückkanäle im Labor nachgewiesen. Korrelation und Zeitfenster sind entscheidend.

Schritt-für-Schritt-Vorgehen

1. Prüffall bestimmen, bei dem ein direkter Response-Nachweis nicht ausreicht
2. Eindeutigen Korrelationswert pro Request erzeugen
3. Payload mit dem vorgesehenen Labor-Rückkanal verbinden
4. Interaktion innerhalb eines definierten Zeitfensters erfassen und dem Request zuordnen
5. Fehlende, verspätete und doppelte Interaktionen in Negativtests behandeln

7. Workflows, Automation und sichere Betriebsprofile

Fuzzing wird erst nach Discovery und Baseline-Prüfung aktiviert. Laufzeit, Rate und Ergebnisformate werden für wiederholbare DAST-Läufe festgelegt.

Schritt-für-Schritt-Vorgehen

1. Technologie- oder Endpunkt-Erkennung als vorgeschaltete Auswahlstufe definieren
2. Fuzzing-Regeln nur für bestätigte passende Ziele aktivieren
3. Rate-Limit, Parallelität, Timeout und maximale Fehlerzahl begrenzen
4. Ergebnisse in einem maschinenlesbaren Format mit Request-Kontext sichern
5. Freigabeprozess für neue Payloads und Regeln mit Regressionstests dokumentieren

Praxisübungen

• Entwicklung einer Pre-Condition für einen klar abgegrenzten Request-Typ
• Gezieltes Fuzzing eines Query-Parameters und eines JSON-Felds mit Ausschlussregeln
• Vergleich mehrerer Payload-Modi anhand von Abdeckung und Request-Anzahl
• Aufbau einer mehrteiligen Erkennungslogik mit positivem und negativem Testfall
• Laborübung zu einem korrelierten Out-of-Band-Nachweis
• Zusammenstellung eines begrenzten DAST-Profils mit Discovery, Fuzzing und Ergebnisexport

Methodik

• Fachliche Einordnung mit kompakten Demonstrationen
• Nachvollziehbare Schritt-für-Schritt-Übungen in einer isolierten Laborumgebung
• Analyse typischer Fehlkonfigurationen, Fehlalarme und Betriebsrisiken
• Übertragung der erarbeiteten Muster auf eigene technische und organisatorische Rahmenbedingungen