Penetrationstests

Domain & DNS-Gesundheit

Registrierung, Nameserver, SPF/DKIM/DMARC-E-Mail-Sicherheit und CA-Bindung.

Netzwerk-Exposition

Offene Ports, exponierte Dienste und Banner-Leaks, die Version und Konfiguration an Angreifer verraten.

TLS & Verschlüsselung

Zertifikatsgültigkeit, schwache Protokolle, Cipher-Suite-Schwächen und HSTS-Status an allen Endpunkten.

Security Headers

HSTS, CSP, frame-options, content-type-options und der vollständige Satz an HTTP-Sicherheitsheadern.

Web-Anwendungsschwächen

Exponierte Admin-Pfade, Source-Control-Leaks, Debug-Seiten, offene Redirects und Host-Header-Injection.

JavaScript-Secrets

Fest codierte API-Keys, Cloud-Credentials und interne URLs, die versehentlich im Frontend-Bundle landen. Wir scannen auch historische Snapshots.

CMS-spezifische Probleme

Bekannt verwundbare Plugins und veraltete Cores in WordPress, Drupal, Joomla und Magento.

API-Exposition

Swagger- und GraphQL-Endpunkte in der Produktion, aktivierte Introspektion und unauthentifizierte API-Oberflächen.

Cloud-Storage

Versehentlich öffentliche S3-, GCS- und Azure-Buckets mit Bezug zu Ihrer Marke — eine häufige Ursache von Datenlecks.

Subdomain-Takeover-Risiko

Verwaiste DNS-Einträge zu nicht beanspruchten Diensten — ein Vektor für Markenmissbrauch.

CORS & JWT-Auth-Fehler

Wildcard-CORS-Origins, gefährliche JWT-Algorithmen und Auth-Fehlkonfigurationen.

Bekannte CVEs

Automatisch korreliert mit den erkannten Softwareversionen, abgeglichen mit den aktuellsten Schwachstellen-Datenbanken.

CORS-Fehlkonfiguration

Aktiv und Deep — erkennt beliebige Origin-Reflexion, Null-Origin-Bypass und Credential-Leakage über CORS-Header.

CRLF-Injection

Aktiv und Deep — testet Header-Injection über URL-Pfad- und Query-String-Parameter.

Cache Poisoning

Aktiv und Deep — erkennt ungeschlüsselte Header-Reflexion, bestätigt durch Cache-HIT bei der zweiten Anfrage.

WAF-Erkennung

Aktiv und Deep — identifiziert Cloudflare, Sucuri, F5, Imperva, Akamai oder unbekannte WAF über Angriffsmuster-Probes.

Rate Limiting

Aktiv und Deep — testet Login- und API-Endpunkte auf fehlende Rate-Limit-Durchsetzung.

SSRF-Probe

Aktiv und Deep — injiziert Cloud-IMDS-URLs (AWS, GCP, Azure) und Loopback-Adressen in URL-ähnliche Parameter und Header, um Server-Side Request Forgery zu erkennen.

HTML & Content-Injection

Aktiv und Deep — testet URL-Parameter und Body-Werte auf reflektierte HTML-Injection, Attribut-Injection, CSS-Injection und JavaScript-Kontext-Injection.

TLS-Tiefenanalyse

Nur Deep — vollständige Cipher-Suite-Analyse: SSLv2/DROWN, SSLv3/POODLE, BEAST, SWEET32 (3DES), FREAK/EXPORT, LOGJAM (DHE-EXPORT), NULL-Cipher-Unterstützung und fehlende Perfect Forward Secrecy.

SQL-Injection

Aktiv und Deep — fehlerbasierte, boolesche Blind- und zeitbasierte Blind-SQLi-Probes über URL-Parameter, Formularfelder, Header und JSON-Body-Werte.

Cross-Site-Scripting (XSS)

Aktiv und Deep — reflektiertes XSS-Testing über Script-Tag-, Attribut-Break-, JavaScript-Kontext- und DOM-Sink-Injektionsvektoren.

Template-Injection (SSTI)

Aktiv und Deep — Server-Side-Template-Injection-Probes für Jinja2, Twig, Freemarker, ERB und Pug Template-Engines.

Local File Inclusion (LFI)

Aktiv und Deep — Pfad-Traversal- und LFI-Probes über URL-Parameter und Header; erkennt das Lesen von /etc/passwd, Webserver-Konfigurationen und Anwendungsquellcode.

XML External Entity (XXE)

Aktiv und Deep — XXE-Injection in XML-akzeptierenden Endpunkten, Tests auf Dateiextraktion, SSRF-via-DTD und Out-of-Band-Exfiltration.

File-Upload-Missbrauch

Aktiv und Deep — testet Upload-Endpunkte auf Script-Extension-Bypass, Double-Extension-Upload und MIME-Typ-Bypass; bestätigt den Abruf, um RCE-Risiko ohne False Positives auf SPA-Catch-All-Routen zu verifizieren.

HTTP Request Smuggling

Aktiv und Deep — CL.TE-, TE.CL- und TE.TE-Desync-Probes. Baseline-Vergleich gegen Canary-Anfragen zur Desync-Bestätigung und Minimierung von False Positives.

Standard-Credentials

Nur Deep — testet erkannte Admin-Panels (Jenkins, phpMyAdmin, Grafana, Adminer, Kibana, Tomcat Manager, Airflow, Traefik, RabbitMQ) auf Standard- oder schwache Credential-Akzeptanz.

Session-Management

Nur Deep — analysiert Cookie-Entropie, Secure/HttpOnly/SameSite-Flag-Präsenz, Session-Token-Vorhersagbarkeit und Fixierungsrisiko.

OAuth-Fehlkonfiguration

Nur Deep — testet OAuth-Flows auf fehlenden State-Parameter (CSRF), offenes redirect_uri und unzureichende Redirect-URI-Validierung.

Insecure Direct Object References (IDOR)

Nur Deep — IDOR-Enumeration an API-Endpunkten mit sequenzieller ID-Manipulation, UUID-Raten und horizontalen Privilege-Escalation-Probes.

GraphQL-Tiefenanalyse

Nur Deep — Introspektionsmissbrauch, Batch-Query-Verstärkung, Query-Tiefen- und Komplexitätsausnutzung sowie Feld-Level-Autorisierungsprobes.

WebSocket-Sicherheit

Nur Deep — Origin-Header-Validierung, Cross-Site-WebSocket-Hijacking (CSWSH) und Nachrichten-Injection-Probes an erkannten WebSocket-Endpunkten.

Dependency-Confusion

Nur Deep — erkennt exponierte Paket-Manifest-Dateien und interne Paketnamen, die in öffentlichen Registries besetzt werden könnten, um die Supply-Chain zu kompromittieren.

Prototype-Pollution

Nur Deep — Client-seitige Prototype-Pollution-Probes über Query-Parameter und JSON-Body-Werte, Tests auf Gadget-Chaining zu DOM-basiertem XSS.