FAQ

Testen von Web-Anwendungen

Ein Penetrationstest einer Web-Anwendung erfordert nicht nur Erfahrung, sondern auch den gezielten Einsatz passender Werkzeuge. Bei der binsec GmbH kombinieren wir etablierte Open-Source-Tools, kommerzielle Lösungen und eigene Entwicklungen, um die Sicherheit von Web-Applikationen ganzheitlich zu prüfen.

Informationsgewinnung

• dig – DNS-Abfragen und erste Analyse der Zielinfrastruktur.
• binsec.tools – unsere eigenen Utilities:
  • SubDomainFinder – Ermittlung der Angriffsfläche über Subdomains.
  • CertWatch – Zertifikats-Transparenz und Ausgabeprüfung.
• nmap – Port- und Service-Erkennung inkl. Version- und Skriptanalyse.

Erkennung & Dokumentation

• gowitness und eyewitness – automatisierte Screenshots und Host-/Endpoint-Dokumentation.
• wappalyzer und binsec.tools WebCompScan – Identifikation von Frameworks, Bibliotheken und CMS-Komponenten.

Test der Web-Anwendung

• curl – zielgerichtete Requests und reproduzierbare Minimaltests.
• Burp Suite Professional – zentrale Testplattform mit Plugins wie Autorize, Upload Scanner sowie eigenen Python-Skripten.
• ffuf – Fuzzing von Pfaden, Parametern und Hidden Endpoints.
• nikto – klassischer Schwachstellen-Scanner als Ergänzung.

API-Tests

• Postman und Bruno – strukturierte Test-Collections und reproduzierbare Workflows.
• jwt_tool – Analyse und Manipulation von JSON Web Tokens.
• sqlmap und sstimap – automatisierte Tests auf SQL- bzw. SSTI-Injection.

Kryptografie & Transport

• binsec.tools SSLCheck (sowie das eigenständige CLI-Tool sslcheck) – detaillierte Bewertung der TLS-Konfiguration.
• binsec.tools HTTPHeaderCheck – Analyse sicherheitsrelevanter HTTP-Header.

Skripting & Automatisierung

• Python – maßgeschneiderte Skripte, Proof-of-Concepts und Automatisierungen für spezielle Testfälle.

Fazit

Ein erfolgreicher Web-Application-Pentest stützt sich nicht auf ein einzelnes Tool, sondern auf die koordinierte Kombination unterschiedlicher Ansätze. So stellen wir sicher, dass relevante Angriffsvektoren realistisch geprüft werden – von Infrastruktur und APIs bis hin zu anwendungsspezifischer Logik.