Eine Vielzahl der Client/Server-basierten Anwendungen werden heutzutage als Webapplikationen umgesetzt. Der Grund dafür ist vielfältig. In erster Linie kann der Nutzen der etablierten Techniken nicht bestritten werden. Auf der Basis webfähiger Programmiersprachen lassen sich innert kürzester Zeit Anwendungen entwickeln, die sich komfortabel über bestehende Browser in einem Netzwerk oder über das Internet nutzen lassen.

Sodann wird es für Penetration Tester immer wichtiger, sich mit Webapplikationen auseinanderzusetzen. Die manuelle Prüfung individueller Lösungen kann je nachdem sehr aufwendig sein. Durch die Modularität des beliebten Webbrowsers Firefox ist es möglich, zusätzliche Addons zu installieren und damit den Browser für derlei Tätigkeit zugeschnittene Funktionen zu erweitern.

Nachfolgend sollen einige der nützlichsten Firefox Addons für Web Application Penetration Tests vorgestellt werden. Die gezeigte Tabelle unterscheidet je nach Anwendungszweck. In der letzten Spalte wird die Bewertung des Addons in einer Skala von 1-5 ausgewiesen.

Hinweis

Nicht erst seit dem Zwischenfall zu Beginn des Jahres 2010, bei dem korrupter Programmcode in Firefox-Addons vermutet wurde, ist es angeraten, a) Addons nur aus vertrauenswürdiger Quelle zu installieren, b) sie mit einer Antiviren-Lösung auf korrupten Programmcode hin zu testen sowie c) den Quelltext auf etwaige Backdoor-Mechanismen zu überprüfen.

About the Authors

Marc Ruef has been working in information security since the late 1990s. He is well-known for his many publications and books. The last one called The Art of Penetration Testing is discussing security testing in detail. He is a lecturer at several faculties, like ETH, HWZ, HSLU and IKF. (ORCID 0000-0002-1328-6357)

Stefan Friedli is a well-known face among the Infosec Community. As a speaker at international conferences, co-founder of the Penetration Testing Execution Standard (PTES) as well as a board member of the Swiss DEFCON groups chapters, he still contributes to push the community and the industry forward.

Links

• http://blog.mozilla.com/security/2010/02/05/security-issues-with-two-experimental-add-ons/
• http://www.mozilla.com/firefox/
• http://www.slideshare.net/aramosf/owasp-top10-fire-fox
• https://addons.mozilla.org/en-US/firefox/addon/1843
• https://addons.mozilla.org/en-US/firefox/addon/1865
• https://addons.mozilla.org/en-US/firefox/addon/1999
• https://addons.mozilla.org/en-US/firefox/addon/2036
• https://addons.mozilla.org/en-US/firefox/addon/2497
• https://addons.mozilla.org/en-US/firefox/addon/3829
• https://addons.mozilla.org/en-US/firefox/addon/3863
• https://addons.mozilla.org/en-US/firefox/addon/3899
• https://addons.mozilla.org/en-US/firefox/addon/46698/
• https://addons.mozilla.org/en-US/firefox/addon/59
• https://addons.mozilla.org/en-US/firefox/addon/5946
• https://addons.mozilla.org/en-US/firefox/addon/5948
• https://addons.mozilla.org/en-US/firefox/addon/60
• https://addons.mozilla.org/en-US/firefox/addon/6196
• https://addons.mozilla.org/en-US/firefox/addon/6371
• https://addons.mozilla.org/en-US/firefox/addon/722
• https://addons.mozilla.org/en-US/firefox/addon/748
• https://addons.mozilla.org/en-US/firefox/addon/7597
• https://addons.mozilla.org/en-US/firefox/addon/7598
• https://addons.mozilla.org/en-US/firefox/addon/8922
• https://addons.mozilla.org/en-US/firefox/addon/953
• https://addons.mozilla.org/en-US/firefox/addon/966
• https://addons.mozilla.org/en-US/firefox/addon/967
• https://addons.mozilla.org/en-US/firefox/collection/secfox
• https://www.computec.ch/news.php?item.308