Clientseitige Injection, schwache Passwörter und fehlende Autorisierung auf Objektebene können verschiedene Bereiche derselben Webanwendung offenlegen. Dieser Kurs untersucht reflektiertes und gespeichertes XSS, Wörterbuchangriffe gegen Webanmeldungen und IDOR mit Kommandozeilenübungen an isolierten lokalen Zielen.
Du verfolgst Eingaben bis in HTML- und JavaScript-Kontexte, modellierst eine persistente Cookie-Exfiltration, konfigurierst Hydra anhand einer echten Fehlermeldung und veränderst Objektreferenzen einer authentifizierten API. Die Abschluss-Challenge verbindet schwache Zugangsdaten, IDOR und gespeichertes XSS und zeigt deren kumulative Wirkung.
Was du lernen wirst
- Reflektierte Eingaben finden und den Umgang einer Anwendung mit HTML-Sonderzeichen testen.
- Aus einem HTML-Attribut ausbrechen und einen reflektierten JavaScript-Nachweis konstruieren.
- Einen XSS-Payload speichern und ein simuliertes Admin-Cookie mit einem lokalen Netcat-Listener erfassen.
- Ein HTTP-POST-Anmeldeformular analysieren und Hydras
http-post-formmit kleinen Wortlisten konfigurieren. - Sich mit einem Bearer-Token an einer lokalen API anmelden und Authentifizierung von Objekt-Autorisierung unterscheiden.
- Direkte Objektkennungen verändern, um vorbereitete Benutzer- und Administratorprofile abzurufen.
- Passwortsuche, IDOR-Tokenzugriff, gespeichertes XSS und Takeover-Prüfung in einer selbstständigen Challenge verbinden.
Für wen dieser Kurs geeignet ist
Dieser Kurs auf mittlerem Niveau richtet sich an Lernende mit HTTP-Grundkenntnissen, die browserseitige Injection und Web-Zugriffskontrollfehler praktisch untersuchen möchten. Er eignet sich für angehende Web-Penetrationstester, Application-Security-Lernende und Entwickler, die das Zusammenspiel clientgesteuerter Eingaben, schwacher Authentifizierung und fehlender Autorisierung verstehen wollen.
Voraussetzungen: Sicherer Umgang mit Linux-Terminal und curl, grundlegenden GET/POST-Anfragen, Headern, Cookies, JSON, HTML-Tags und -Attributen sowie einfachen Shell-Schleifen oder Umleitungen.
Lernumgebung: Ein Ubuntu-22.04-Terminal mit Hydra, curl, Netcat, bereitgestellten Wortlisten und absichtlich verwundbaren lokalen Anwendungen auf Port 5000 und 8080. Ein bereitgestelltes Python-Skript simuliert beim Cookie-Capture das Browseropfer.
Häufig gestellte Fragen
Führe ich die XSS-Payloads in einem grafischen Browser aus?
Nein. Das Reflected-XSS-Lab prüft verwundbare HTML-Antworten mit curl und erklärt deren Verarbeitung im Browser. Das Stored-XSS-Lab nutzt einen Opfersimulator, der einen Administratorbesuch nachbildet und ein vorbereitetes Cookie an den lokalen Listener sendet.
Richtet sich der Passwortangriff gegen echte Konten?
Nein. Hydra und die kleine Wortliste der Challenge arbeiten nur gegen bewusst schwache lokale Endpunkte. Konten und Zugangsdaten sind vorbereitete Laborobjekte.
Wie unterscheiden sich Authentifizierungsumgehung und IDOR?
Die Passwortübungen ermitteln gültige Zugangsdaten und bauen eine Sitzung auf. Beim IDOR ist der Lernende bereits authentifiziert, doch der Server prüft nicht, ob er auf das durch eine clientgesteuerte Kennung ausgewählte Profil zugreifen darf.
Werden Cookies oder Payloads an einen externen Server gesendet?
Nein. Das simulierte Cookie geht an Netcat auf localhost:8000; alle Anwendungen, API-Anfragen, Payloads und Takeover-Prüfungen bleiben in der Kursumgebung.
