Penetrationstest von GWT-Webanwendungen

Penetrationstest von GWT-basierten Webanwendungen

Im Rahmen mehrerer Projekte haben wir Webanwendungen geprüft, die auf dem Google Web Toolkit (GWT) basieren. Diese Technologie wird häufig in Verwaltungs- und Fachanwendungen eingesetzt und zeichnet sich durch eine komplexe, stark serialisierte Kommunikation zwischen Browser und Server aus. Klassische automatisierte Testansätze, etwa über die Burp Suite, lassen sich nur eingeschränkt anwenden, da die Kommunikation proprietär oder teilweise zusätzlich verschlüsselt erfolgt.

Die Analyse erfordert daher ein tiefes Verständnis der zugrunde liegenden Architektur. Ein großer Teil der Arbeit besteht aus manuellen Tests, um Datenstrukturen und Protokolle zu verstehen und daraus mögliche Angriffsvektoren abzuleiten. Während auch bei gewöhnlichen Webanwendungen manuelle Prüfungen erforderlich sind, lassen sich diese dort in der Regel durch automatisierte Tools stark unterstützen. Bei GWT-Anwendungen ist das – insbesondere bei verschlüsselter Client-Server-Kommunikation – kaum möglich. Am Ende bleibt die Analyse weitgehend Handarbeit. Oder wie ein Pentester aus unserem Team es treffend formulierte: „Man muss halt denken.“