Das Wissensportal für IT-Professionals. Entdecke die Tiefe und Breite unseres IT-Contents in exklusiven Themenchannels und Magazinmarken.

heise conferences GmbH

(vormals SIGS DATACOM GmbH)

Lindlaustraße 2c, 53842 Troisdorf

Tel: +49 (0)2241/2341-100

kundenservice@sigs-datacom.de

Conquest of paradise – Eroberung der (eigenen) Anwendung, Pentesting während der Entwicklung

Dass man bereits während der Entwicklung einer Anwendung Wert auf IT-Sicherheit legen sollte, hat sich wahrscheinlich mittlerweile herumgesprochen. Allerdings ist dieses Thema so komplex, dass es nicht mal eben „nebenbei“ durch einen Entwickler erledigt werden kann. Andererseits ist es gar nicht so einfach, typische Angriffsmuster reproduzierbar nachzustellen. Genau hier hilft nuclei, um das es in dieser Kolumne gehen soll.

Zunächst einmal etwas zum Angreifen: Wie immer müssen wir zunächst unsere Umgebung aufbauen. Als Einstieg benötigen wir eine Webanwendung, deren Sicherheitslücken wir möglichst bereits kennen. Wir können natürlich unser aktuelles Projekt verwenden, oder wir starten mit einer Software, die genau hierzu gedacht ist.

Der Juice Shop

Das OWASP (Open Worldwide Application Security Project) arbeitet schon seit 2001 als Non-Profit-Projekt für die Verbesserung der IT-Sicherheit. Um auf IT-Probleme bei Web…