Webanwendungen mit Nikto und OWASP ZAP scannen

Webanwendungen bieten komplexe Angriffsflächen: URL-Parameter, Formularfelder, Cookies, Header, Datei-Uploads und APIs. Automatisierte Scanner prüfen all diese Bereiche systematisch auf häufige Schwachstellen.

Nikto ist ein Webserver-Scanner für die Befehlszeile, der auf gefährliche Dateien, veraltete Software, unsichere Header und bekannte CVEs prüft. Das Tool ist schnell, einfach und laut – nicht unauffällig.

Nikto stellt Funden ein + voran. Achten Sie auf offengelegte Administrationsoberflächen, Verzeichnisauflistungen, fehlende Sicherheits-Header, veraltete Serverversionen und potenziell gefährliche Dateien wie /phpinfo.php.

OWASP ZAP (Zed Attack Proxy) ist ein voll ausgestatteter Sicherheitsscanner für Webanwendungen mit grafischer Oberfläche und API. Es arbeitet als Proxy, Spider und aktiver Scanner und eignet sich sowohl für manuelle als auch für automatisierte Tests.

Konfigurieren Sie Ihren Browser so, dass er ZAP als Proxy verwendet (localhost:8080). ZAP erfasst den gesamten Datenverkehr und erstellt eine Site Map. In dieser passiven Phase werden Informationen gesammelt, ohne Angriffspayloads zu senden.

Der Spider durchsucht die Anwendung, indem er Links und Formularaktionen verfolgt. Der AJAX-Spider verarbeitet JavaScript-lastige Single-Page-Anwendungen. Beide erstellen eine vollständige Site Map für den aktiven Scan.

Der aktive Scanner sendet Angriffspayloads wie SQL-Injection, XSS und Path Traversal an jede entdeckte Eingabe. Risikostufen sind Hoch, Mittel, Niedrig und Informativ.

ZAP gruppiert Funde in Warnungen. Jede Warnung zeigt die Risikostufe, die Vertrauenswürdigkeit, die betroffene URL, den verwendeten Angriffspayload, Belege aus der Antwort und eine empfohlene Behebung. Hohe Vertrauenswürdigkeit bedeutet weniger Fehlalarme.

ZAP stellt ein Docker-Image für automatisierte Scans in Pipelines bereit. Das Skript zap-baseline.py führt einen für CI geeigneten passiven Scan durch; zap-full-scan.py führt einen aktiven Scan aus.

Nikto ist einfach, schnell und für die Befehlszeile ausgelegt – am besten für schnelle Prüfungen und Probleme auf Serverebene. ZAP ist umfassend, proxybasiert und verarbeitet komplexe Anwendungen. Es eignet sich besser für Schwachstellen auf Anwendungsebene und die Integration in CI.

Scannen Sie nur Systeme, die Ihnen gehören oder für deren Prüfung Sie eine schriftliche Genehmigung haben. Nicht autorisierte Scans können gegen Gesetze wie den CFAA oder den Computer Misuse Act sowie gegen Nutzungsbedingungen verstoßen, selbst wenn keine Schäden beabsichtigt sind.

Wodurch unterscheidet sich der aktive Scanner von ZAP vom passiven Scannen?

Nikto liefert innerhalb weniger Sekunden schnelle Funde auf Serverebene. ZAP ermöglicht mit Proxy-Interception, Spidering und aktiven Angriffen umfassende Scans auf Anwendungsebene. Für beide Tools ist eine Autorisierung erforderlich. In ausgereiften Pipelines sollten Sie bei jedem Deployment automatisierte ZAP-Baseline-Scans ausführen, um Regressionen zu erkennen, bevor sie die Produktion erreichen.