Zehn häufige Sicherheitslücken bei Web-basierten Anwendungen

Ein weiterer sehr beliebter Test funktioniert so: Man bittet einen der Administratoren der Anwendung, sich korrekt anzumelden, dann ein Lesezeichen für eine beliebige administrative Seite zu speichern (zum Beispiel die Seite „Neuen Benutzer hinzufügen“) und sich wieder abzumelden. Nun kann man testen, ob die Session beim Abmelden beendet wird, indem man einen Browser öffnet und auf das Lesezeichen klickt. In erstaunlich vielen Fällen wird einem die Anwendung automatisch Administrator-Rechte verleihen.

Eine weitere Technik besteht darin, nach „totem“ Code zu suchen, der nur auskommentiert, aber nicht entfernt wurde. Man loggt sich als Gast-Benutzer ein (oder als ein beliebiger anderer legitimer Benutzer) und versucht auf Seiten mit solchem „toten“ Code zu gelangen. Die Erfahrung zeigt, dass eine Menge solchen Codes immer noch in den Quelltexten vorhanden ist.

Häufig erstellen Entwickler eine Startseite während des Entwicklungsprozesses, die gar nicht für das Deployment gedacht ist, den Anmeldeprozess umgeht und eine Testumgebung einrichtet. Wenn dann der Betrieb des Systems aufgenommen wird, kommentieren Web-Programmierer den Original-Aufruf aus oder benennen die Seite um, belassen aber die Testseite im Web-Stammverzeichnis.

Es lohnt sich auch, den Code daraufhin zu untersuchen, ob es mehrere Anmelde- oder Startseiten gibt, und zu testen, ob einem eine davon Administrator-Zugang zum System verleiht, ohne die Anmeldeinformationen abzufragen. Und man kann versuchen, sich auf der Website ohne die eigentliche Seitennavigation zu bewegen, besonders wenn der Entwickler Hinweise für die Navigation gegeben hat. Normalerweise reicht zur Orientierung ein Blick in die Browser-History oder den Cache, um zu sehen, auf welchen Seiten andere Benutzer waren. Die Temporären Internetdateien liefern eine Fülle von Informationen, falls sie nicht gelöscht wurden. Falls die Anwendung ausdrücklich will, dass man einen bestimmten Weg nimmt, sollte sichergestellt sein, dass auch wirklich alle Hintereingänge versperrt sind.