Zap automatischer scan - Versionsgeschichte

Thomas.will am 19. August 2026 um 12:00 Uhr

2026-08-19T12:00:50Z

Thomas.will am 19. August 2026 um 11:59 Uhr

2026-08-19T11:59:21Z

Thomas.will: /* Cross Site Scripting (DOM Based) */

2022-10-06T12:58:10Z

Cross Site Scripting (DOM Based)

Thomas.will: /* Ergebnisse */

2022-10-06T12:56:46Z

Ergebnisse

Thomas.will: /* Ergebnisse */

2022-10-06T12:55:27Z

Ergebnisse

Thomas.will: /* Ergebnisse */

2022-10-06T12:53:54Z

Ergebnisse

Thomas.will am 6. Oktober 2022 um 12:53 Uhr

2022-10-06T12:53:19Z

Thomas.will am 6. Oktober 2022 um 12:53 Uhr

2022-10-06T12:53:07Z

Thomas.will am 6. Oktober 2022 um 12:31 Uhr

2022-10-06T12:31:28Z

Thomas.will am 6. Oktober 2022 um 12:29 Uhr

2022-10-06T12:29:39Z

← Nächstältere Version		Version vom 19. August 2026, 12:00 Uhr
Zeile 6:		Zeile 6:

	[[Datei:Zap-01.png\|700px]]		[[Datei:Zap-01.png\|700px]]
		+	== ZAP-Fundstellen im Überblick ==
		+
		+	OWASP ZAP nennt jede Fundstelle "Alert" – das hat nichts mit den [[GVM Alert\|Alerts in GVM]] zu tun, wo damit Benachrichtigungen gemeint sind.
		+
		+	Die Zahl in Klammern gibt die Anzahl betroffener URLs an. "(Systemic)" bedeutet, dass der Befund die gesamte Anwendung betrifft; ZAP fasst dann zusammen, statt hunderte gleichartige Treffer zu listen.
		+
		+	{\| class="wikitable"
		+	\|+ Risikostufen in ZAP
		+	! Farbe !! Stufe !! Bedeutung
		+	\|-
		+	\| rot \|\| High \|\| nachgewiesene, ausnutzbare Schwachstelle
		+	\|-
		+	\| orange \|\| Medium \|\| fehlende Schutzmaßnahme oder eingeschränkt ausnutzbar
		+	\|-
		+	\| gelb \|\| Low \|\| geringe Auswirkung, meist Informationspreisgabe
		+	\|-
		+	\| blau \|\| Informational \|\| Beobachtung ohne Sicherheitsrelevanz
		+	\|}
		+
		+	=== Nachgewiesene Schwachstellen ===
		+
		+	{\| class="wikitable"
		+	! Fundstelle !! Erklärung !! Abhilfe
		+	\|-
		+	\| Remote OS Command Injection \|\| Eingaben fließen in einen Systemaufruf. Mit Trennzeichen wie <code>;</code> oder <code>\|</code> hängt der Angreifer eigene Befehle an und führt Code auf dem Server aus – mit den Rechten des Webserver-Prozesses. \|\| Systemaufrufe mit Benutzerdaten vermeiden; wenn unvermeidbar, Argumente als Array übergeben statt als Kommandozeile
		+	\|-
		+	\| SQL Injection \|\| Eingaben landen ungefiltert in einer Datenbankabfrage. Reicht vom Lesen fremder Datensätze bis zum Umgehen der Anmeldung. \|\| Prepared Statements mit gebundenen Parametern statt zusammengebauter Abfragestrings
		+	\|-
		+	\| Cross Site Scripting (DOM Based) \|\| JavaScript liest Daten aus URL oder Fragment und schreibt sie über <code>innerHTML</code> ins Dokument. Läuft rein im Browser – der Server sieht die Nutzlast nie. \|\| Sichere DOM-Methoden wie <code>textContent</code>; keine ungeprüften Daten in <code>innerHTML</code>
		+	\|-
		+	\| Cross Site Scripting (Reflected) \|\| Eine Eingabe geht an den Server und erscheint unverändert in der Antwort. Angriff über präparierten Link, wirkt in der Sitzung des Opfers. \|\| Kontextabhängige Ausgabekodierung
		+	\|}
		+
		+	=== Fehlende Schutzmaßnahmen ===
		+
		+	Keine Lücken für sich genommen, aber sie erleichtern die Ausnutzung anderer Fehler.
		+
		+	{\| class="wikitable"
		+	! Fundstelle !! Erklärung !! Abhilfe
		+	\|-
		+	\| Absence of Anti-CSRF Tokens \|\| Formulare ohne unvorhersehbares Token lassen sich von fremden Seiten absenden; der Browser hängt die Cookies automatisch an. \|\| Token pro Formular und Sitzung; <code>SameSite</code>-Cookies
		+	\|-
		+	\| Content Security Policy (CSP) Header Not Set \|\| Ohne CSP fehlt die zweite Verteidigungslinie, die eine gefundene XSS-Lücke oft noch entschärft. \|\| <code>Content-Security-Policy</code> setzen, möglichst ohne <code>unsafe-inline</code>
		+	\|-
		+	\| Missing Anti-clickjacking Header \|\| Die Seite lässt sich in einen fremden iframe einbetten und mit einer transparenten Schicht überlagern. \|\| <code>frame-ancestors</code> in der CSP, ersatzweise <code>X-Frame-Options</code>
		+	\|-
		+	\| Strict-Transport-Security Header Not Set \|\| Der erste Aufruf kann über HTTP erfolgen und abgefangen werden. \|\| <code>Strict-Transport-Security</code> mit ausreichender <code>max-age</code>
		+	\|-
		+	\| X-Content-Type-Options Header Missing \|\| Ohne <code>nosniff</code> raten Browser den Inhaltstyp; eine hochgeladene Datei kann so als Skript ausgeführt werden. \|\| <code>X-Content-Type-Options: nosniff</code>
		+	\|-
		+	\| Sub Resource Integrity Attribute Missing \|\| Extern eingebundene Skripte ohne <code>integrity</code>-Attribut: Wird das CDN manipuliert, führt die Seite fremden Code aus. \|\| <code>integrity</code>- und <code>crossorigin</code>-Attribut setzen
		+	\|-
		+	\| Re-examine Cache-control Directives \|\| Cache-Vorgaben, die persönliche Inhalte in Proxys oder im Browser-Cache liegen lassen könnten. \|\| <code>Cache-Control: no-store</code> für authentifizierte Antworten
		+	\|}
		+
		+	=== Informationspreisgabe ===
		+
		+	{\| class="wikitable"
		+	! Fundstelle !! Erklärung !! Abhilfe
		+	\|-
		+	\| Server Leaks Version Information \|\| Produkt und Version im <code>Server</code>-Header. Kein Angriffsweg, aber Aufklärung: Der Angreifer weiß, welche Exploits in Frage kommen. \|\| <code>ServerTokens Prod</code> bzw. <code>server_tokens off</code>
		+	\|-
		+	\| In Page Banner Information Leak \|\| Versionsangaben im Seiteninhalt, etwa auf Standard- oder Fehlerseiten. \|\| Standardseiten ersetzen
		+	\|-
		+	\| Information Disclosure – Suspicious Comments \|\| HTML-Kommentare mit Wörtern wie "TODO" oder "password". Meist harmlos, gelegentlich Hinweise auf interne Pfade oder Testzugänge. \|\| Kommentare beim Ausliefern entfernen
		+	\|}
		+
		+	=== Hinweise ohne Sicherheitsrelevanz ===
		+
		+	{\| class="wikitable"
		+	! Fundstelle !! Erklärung
		+	\|-
		+	\| Authentication Request Identified \|\| ZAP hat Anmeldeformulare erkannt – Hinweis darauf, wo für einen authentifizierten Scan Zugangsdaten hinterlegt werden können.
		+	\|-
		+	\| Modern Web Application \|\| Die Anwendung nutzt viel JavaScript. Ein reiner HTML-Crawl erreicht nicht alle Funktionen; hier ist der AJAX-Spider nötig.
		+	\|-
		+	\| User Controllable HTML Element Attribute (Potential XSS) \|\| Eingaben landen in HTML-Attributen. ZAP hat keinen Angriff nachgewiesen, nur den Weg beobachtet – Prüfkandidaten, keine Befunde.
		+	\|}
		+
		+	{{Hinweis\|Der Unterschied zwischen '''nachgewiesen''' und '''vermutet''' ist zentral: Die vier bestätigten DOM-XSS-Funde hat ZAP durch manipulierte Eingaben belegt, die 14 "Potential XSS" nur durch Beobachtung vermutet. In GVM übernimmt die Quality of Detection diese Rolle, in ZAP steht sie im Namen der Fundstelle.}}
		+
		+	{{Hinweis\|Priorisiert wird nicht nach Farbe, sondern danach, wie tief ein Angreifer kommt: erst Command Injection (Codeausführung auf dem Server), dann SQL Injection (Datenbank), dann XSS (Browser des Opfers), zuletzt die fehlenden Header.}}

@@ Zeile 3: / Zeile 3: @@
 *URL einfügen
 *Attack
-[[Datei:Zap-1.png|700px]]
-=Ergebnisse=
-=SQL Injection=
+[[Datei:Zap-01.png|700px]]

@@ Zeile 12: / Zeile 12: @@
 [[Datei:Zap-23.png|700px]]
 =Cross Site Scripting (DOM Based)=
-[[Datei:Zap-24.png|700px]]
+[[Datei:Zap-24.png|900px]]

@@ Zeile 5: / Zeile 5: @@
 [[Datei:Zap-1.png|700px]]
 =Ergebnisse=
-;SQL Injection
+=SQL Injection=
 [[Datei:Zap-21.png|700px]]
-;Remote Command Injection
+=Remote Command Injection=
 [[Datei:Zap-22.png|700px]]
+=Cross Site Scripting (Reflected)=
 [[Datei:Zap-23.png|700px]]
+=Cross Site Scripting (DOM Based)=
 [[Datei:Zap-24.png|700px]]

@@ Zeile 7: / Zeile 7: @@
 ;SQL Injection
 [[Datei:Zap-21.png|700px]]
+;Remote Command Injection
 [[Datei:Zap-22.png|700px]]

@@ Zeile 1: / Zeile 1: @@
 *Automated Scan
+*URL einfügen
 [[Datei:Zap-1.png|500px]]