Web-Pentest von Null: Ein Sicheres Lab mit DVWA, Juice Shop und Burp Suite Bauen

Manche Leute werfen Burp Suite gegen die erstbeste Seite aus Google und fuehlen sich schon als Pentester. In ueber dreissig Laendern ist das eine Straftat, in Deutschland klar nach Paragraph 202c und 303a StGB. Der einzig vernuenftige Weg ist ein eigenes Labor, vollstaendig isoliert und voll mit legal verwundbaren Zielen, bevor man irgendein echtes System anfasst. In diesem Guide baut das Basilisk-Team eine reproduzierbare Umgebung auf einer 16GB-RAM-Maschine, mit DVWA, OWASP Juice Shop und Burp Suite Community als Starttrio. Alles laeuft in einem VirtualBox-Host-Only-Netz, ohne dass ein einziges Bit nach aussen leckt, und jeder Schritt ist so gebaut, dass du in Minuten abreissen und neu aufsetzen kannst. Bevor wir eintauchen, eine Klarstellung, die dich vor Jahren Aerger bewahren kann: der Wert eines Labors liegt nicht im Werkzeug, sondern in der Wiederholbarkeit. Ein Ziel, das du hundertmal brechen und exakt vergleichen kannst, lehrt mehr als zehn zufaellige Produktionssysteme, die du nie beruehren duerftest. Genau deshalb bauen Profis ihr Labor zuerst und ihre Toolchain danach.

Warum ein Labor der Unterschied zwischen Forschung und Straftat ist

Die rechtliche Linie geht nicht ueber die Absicht, sondern ueber die Autorisierung. Scannen, Fuzzen oder auch nur das Verbinden zu einem System, das dir nicht gehoert und fuer das du keine schriftliche Testerlaubnis hast, ist in den meisten Rechtsordnungen unbefugter Zugriff, unabhaengig davon, ob du Schaden anrichtest. Ein Labor beseitigt dieses Risiko vollstaendig: die Ziele sind Software, die ausdruecklich zum Kaputtmachen veroeffentlicht wurde, auf Maschinen, die du kontrollierst, in einem Netz, das niemanden sonst erreicht. Es macht dich auch zum besseren Tester, weil du einen Payload hundertmal ausloesen, genau beobachten kannst, was sich aendert, und gegen bekannten Quellcode vergleichst, was gegen ein Blackbox-Produktionsziel nie geht.

Die Isolationsschicht, die Forschung von Vorfall trennt

Beginne mit der Isolation, denn sie verhindert das Lecken deiner Experimente. Erstelle eine Kali-Linux-2026.1-VM mit zwei Adaptern: ein abschaltbares NAT fuer Updates und ein Host-Only-Adapter im Bereich 192.168.56.0/24. Zielmaschinen (ein Ubuntu 22.04 mit DVWA in Docker und ein weiteres mit Juice Shop auf Port 3000) bleiben AUSSCHLIESSLICH im Host-Only-Netz. Loesche darin jede Default-Route mit ip route del default, damit selbst eine vollstaendige Kompromittierung nicht nach Hause telefoniert. Mache vor jeder Session einen VirtualBox-Snapshot jeder VM; das Zuruecksetzen nach der Installation einer zwielichtigen Burp-Extension spart Stunden Neuinstallation und garantiert eine bekannt saubere Basis.

DVWA deployen und den Exploit-Zyklus lernen

Starte DVWA mit docker run --rm -it -p 80:80 vulnerables/web-dvwa und setze das Security Level beim ersten Kontakt auf low. Ziel ist nicht, am ersten Tag alle Module abzuhaken, sondern den Zyklus zu verinnerlichen: Request in Burp beobachten, Parameter aendern, Response beobachten, Payload schreiben, wiederholen. Das SQL-Injection-Modul ist der klassische Augenoeffner: sende ' OR 1=1-- - im id-Parameter und sieh zu, wie die Query jede Zeile zurueckgibt. Erhoehe dann das Security Level auf medium und high, um zu sehen, wie Input-Validierung und parametrisierte Queries das Loch schrittweise schliessen, was dir gleichzeitig die Verteidigungsseite beibringt.

Juice Shop deployen fuer realistische moderne Ziele

Juice Shop ist ein brutaler Realismus-Upgrade: eine Angular-SPA mit ueber 100 Challenges, verstecktem Scoreboard, schlecht validiertem JWT und REST-Endpunkten voller IDOR. Hoch damit per docker run --rm -p 3000:3000 bkimminich/juice-shop, dann konfiguriere Burp Suite Community als Proxy auf 127.0.0.1:8080. Weil es eine echte SPA ist, uebst du gegen JSON-APIs, JWT-Manipulation und Client-seitiges Routing, also genau das, wie moderne Anwendungen wirklich aussehen. Das versteckte Scoreboard unter /#/score-board gibt dir ein strukturiertes Curriculum von trivial bis richtig schwer, und jede geloeste Challenge bildet eine reale Schwachstellenklasse ab.

Burp Suite richtig konfigurieren

Importiere Burps CA-Zertifikat in ein dediziertes Kali-Firefox-Profil (NIEMALS in deinen privaten Browser), damit du TLS intercepten kannst, ohne dir anzugewoehnen, Zertifikatswarnungen zu ignorieren. Konfiguriere dann einen aggressiv engen Scope: unter Target > Scope nur 192.168.56.0/24 hinzufuegen und die Option zum Blocken von Out-of-Scope-Traffic aktivieren. Dieser eine Klick verhindert den klassischen Praktikanten-Albtraum, dass Intruder ueber Nacht gegen ein CDN laeuft. Lege pro Ziel eine eigene Project File an (dvwa.burp, juiceshop.burp), aktiviere Logger++ aus dem BApp Store fuer einen vollstaendigen Audit-Trail und installiere Param Miner fuer versteckte Header und Parameter.

Eine wiederholbare Methodik statt zufaelligem Klicken

Bearbeite jedes Ziel in Phasen: die Oberflaeche kartieren (Spider plus manuelles Browsen mit Proxy-History), Eingaben identifizieren (jeder Parameter, Header, Cookie und jedes JSON-Feld), eine Klasse nach der anderen testen (Injection, dann Zugriffskontrolle, dann Client-seitig) und mit einem minimalen, zuverlaessigen Payload bestaetigen, bevor du weitergehst. Widerstehe dem Drang, zuerst den aktiven Scanner laufen zu lassen; verstehe die App manuell, denn der Scanner uebersieht die Logikfehler, die die interessantesten Bugs sind. Fuehre eine laufende Liste von Endpunkten und deren erwarteter Autorisierung, damit du IDOR systematisch testen kannst, indem du Identifier zwischen zwei angelegten Konten tauschst. Diese zwei-Konten-Technik ist der zuverlaessigste Weg, Zugriffskontrollfehler zu finden: lege einen Nutzer A und einen Nutzer B an, notiere jede Ressourcen-ID von A, und versuche dann, sie als B abzurufen, zu aendern und zu loeschen. Jeder Erfolg ist ein Broken-Access-Control-Bug, die haeufigste und am hoechsten bewertete Klasse im OWASP Top 10. Automatisiere den Vergleich spaeter mit einer Burp-Extension wie Autorize, aber verstehe ihn zuerst von Hand, sonst vertraust du blind einem gruenen Haken.

Dokumentation, die Uebung in Koennen verwandelt

Dokumentiere jeden Exploit mit drei Artefakten: roher Request, exakter Payload und erwartetes vs. beobachtetes Verhalten. Nutze einen dedizierten Obsidian-Vault fuer das Labor, getaggt entlang der OWASP Top 10, damit sich Muster ueber Ziele hinweg ansammeln. Wenn du im Juice Shop einen schlecht gefilterten Avatar-Upload findest, schreib das Write-up, bevor du zur naechsten Challenge rennst; diese Disziplin trennt Hobbyist und Profi. Halte verschluesselte Backups des Vaults, denn dein Exploit-Notizbuch ist Gold und ein Risiko in dem Moment, in dem es leckt: es ist eine Landkarte von Techniken und, falls es je ein echtes Engagement enthaelt, der Schwaechen eines Kunden.

Haeufige Fallstricke, die ein Heimlabor ruinieren

Die ueblichen Fehler: Ziel-VMs einen Bridged-Adapter geben, sodass sie ploetzlich aus deinem Heimnetz erreichbar sind; unauditierte Drittanbieter-Burp-Extensions im selben Profil installieren, das du fuer echte Arbeit nutzt; den NAT-Adapter aktiviert lassen, sodass ein Ziel exfiltrieren kann; vor einem Experiment das Snapshotten vergessen und ein funktionierendes Setup verlieren; und, am schlimmsten, bequem werden und das Labor-Tooling auf eine Live-Seite richten, weil es harmlos wirkte. Behandle die Grenze zwischen Labor und Internet als heilig. Alles drinnen darfst du kaputtmachen; nichts draussen, ohne schriftlichen Scope.

Labor-Checkliste und wie es weitergeht

Vor jeder Session verifiziere: Ziel-VMs sind Host-Only ohne Default-Route; Burp-Scope ist gesetzt und Out-of-Scope-Blocken ist an; Project Files pro Ziel existieren; Snapshots sind frisch; und der NAT-Adapter ist aus, ausser du updatest. Vor dem Schliessen fahre die VMs mit VBoxManage controlvm <name> poweroff herunter, widerrufe das temporaere NAT und setze auf einen sauberen Snapshot zurueck, wenn du etwas Experimentelles installiert hast. Wenn sich DVWA und Juice Shop leicht anfuehlen, wechsle zu HackTheBox, TryHackMe oder Bug-Bounty-Programmen mit schriftlichem Scope, wo dieselbe Disziplin dich legal haelt.

FAQ: Reicht Burp Suite Community oder brauche ich Pro?

Community reicht, um alles in diesem Guide zu lernen. Die Hauptgrenzen sind ein gedrosselter Intruder und kein eingebauter aktiver Scanner. Fuer ein Lernlabor ist das sogar ein Feature, weil es dich zwingt, Angriffe manuell zu verstehen, statt auf Scan zu klicken. Kaufe Pro erst, wenn du bezahlte Engagements machst, bei denen der automatische Scanner und der schnellere Intruder abrechenbare Stunden sparen; bis dahin deckt Community plus kostenlose BApp-Extensions wie Logger++ und Param Miner das Curriculum ab.

FAQ: Laeuft das alles auf einem Laptop?

Ja. Kali plus zwei leichte Ubuntu-Ziel-VMs passen bequem in 16GB RAM, wenn du Kali 4GB und jedem Ziel 2GB gibst. Ist der Speicher knapp, betreibe DVWA und Juice Shop als Docker-Container auf einem einzigen Ubuntu-Ziel statt zwei getrennten VMs. Der nicht verhandelbare Teil sind das Host-Only-Netz und die Snapshots; die genaue VM-Zahl ist flexibel und du kannst herunterskalieren, ohne die Isolation zu schwaechen.

Sich das Labor selbst neu aufbauen lassen

Ein Labor, das du nicht auf Knopfdruck neu erstellen kannst, verrottet leise: Extensions driften, Ziel-Versionen fallen zurueck, und ein schlechter Snapshot-Revert kostet dich das Setup. Behandle das Ganze als Code. Beschreibe die VMs in einem Vagrantfile und das Provisioning (Docker-Installation, DVWA- und Juice-Shop-Container, Host-Only-Netz, Sysmon- oder Logging-Anpassungen) in einem Ansible-Playbook oder einem schlichten Shell-Skript, sodass ein einziges vagrant up die Umgebung von Grund auf rekonstruiert. Halte die Ziel-Image-Versionen gepinnt, aber hebe sie jedes Quartal bewusst an, denn Juice Shop und DVWA liefern beide neue Challenges und gepatchte Verhaltensweisen, die aendern, was deine Uebung abdeckt. Speichere die gesamte Definition in einem privaten Git-Repo, niemals mit echten Zugangsdaten oder Engagement-Daten committet, und tagge einen bekannt guten Zustand vor grossen Aenderungen. Der Gewinn ist doppelt: du kannst die Umgebung nach etwas Destruktivem angstfrei wegwerfen, und du kannst dasselbe Labor einem Teamkollegen geben, damit deine Findings reproduzierbar statt Folklore sind. Reproduzierbarkeit ist die eine Gewohnheit, die einen ernsthaften Praktiker am saubersten von jemandem trennt, der einmal eine Shell bekam und es nie wieder konnte.

Praktisches Take-away: behandle dein Labor wie einen kleinen Kernreaktor mit Betriebslogbuch, segregierten Netzen und Pflicht-Snapshots. Wenn du mit DVWA und Juice Shop sicher bist, wechsle zu HackTheBox, TryHackMe oder Bug-Bounty-Programmen mit schriftlichem Scope. Praxis ohne Scope ist kein Pentest, sondern eine Straftat mit bis zu drei Jahren Haft in vielen Laendern. Labordisziplin ist das, was dich auf der richtigen Seite dieser Linie haelt, und es ist genau dieselbe Disziplin, die professionelle Engagements sauber und verteidigbar macht.