OWASP ZAP – wprowadzenie

Bezpieczeństwo

 4,518 

OWASP ZAP (Zed Attack Proxy) – darmowe narzędzie służące do testowania bezpieczeństwa aplikacji webowych, rozwijana w ramach grupy OWASP (Open Web Application Security Project). Narzędzie jest proste w instalacji i wydaje się idealne dla początkujących użytkowników.
Aplikacja jest dostępna na platformy Windows, Linux, oraz MacOS i można pobrać z zaproxy.org.

Gdy pobierzesz narzędzie, pamiętaj, że wersje dla systemów Windows i Linux wymagają Javy 8 lub nowszej. 

Instalacja

Dla Windowsa sprawa jest, prosta gdyż pobieramy plik *.exe i przeprowadzamy proces instalacji krok po kroku.

W przypadku Linuxa pobieramy wersję dla tego systemu (ja wybrałem installer) i wchodzimy do terminala. 

Następnie będąc w terminalu konieczne jest wykonanie dwóch poleceń.

chmod u+x ZAP_2_9_0_unix.sh

Następnie musimy uruchomić instalator poprzez

sudo ZAP_2_9_0_unix.sh

U mnie jest informacja o aktualizacji oprogramowania, albowiem posiadam już to narzędzie w systemie Kali Linux. 

Konfiguracja

Po instalacji narzędzia, możemy skonfigurować przeglądarkę do przechwytywania requestów. Konieczne jest wejście w ustawienia przeglądarki i wybrać Manual proxy configuration i wpisać:
HTTP Proxy – 127.0.0.1 + port 8080.

Natomiast w ustawieniach OWASP Zap konieczne jest sprawdzenie w zakładce narzędzia – opcje – local proxies czy mamy ustawiony adres localhost i port 8080.

Wchodząc teraz na strony internetowe, otrzymamy informacje, że jest problem z certyfikatem ZAPa. 
Konieczne jest zapisanie certyfikatu z OWASP ZAP. Wystarczy przejść do narzędzia – opcje – dynamiczne certyfikaty SSL (Dynamic SSL Certification) i następnie zapisać plik. 

Tak zapisany certyfikat musimy dodać do przeglądarki internetowej. 
Preferencje – wyszukujemy Certificates – View Certificates – Import – dodajemy nasz plik *.cer. Przy dodawaniu pliku zaznaczamy oba checkboxy. 

Dzięki takim czynnościom, teraz wchodząc na jakikolwiek adres url przez przeglądarkę, requesty będą przechwytywane i widoczne w OWASP ZAP.

Zalety.

OWASP ZAP wszystkie wykryte podatności kategoryzuje ze względu na stopień zagrożenia (wysoki, średni, niski, informacyjny). Dodatkowo automatycznie je opisuje i zestawia. Daje też możliwość generowania pliku HTML lub XML wraz z raportem.

Narzędzie posiada wiele dodatków które znajdują się w Marketplace. Każde z rozszerzeń posiada status – Alpha – Beta – Release. 

Przy chęci automatyzowania, jest też możliwość integracji OWASP ZAPa z Jenkinsem, Azure Devops czy Selenium. 

Dużym źródłem wiedzy i możliwego treningu jest GitHub zaproxy. 

Podsumowanie

W tej części pokazałem Wam skąd pobrać narzędzie i w jaki sposób przygotować sobie pod testy. W kolejnych epizodach o OWASP ZAP, zobaczycie m.in. Active Skan, Spider, czy też Fuzz. W przyszłości gdy będę miał możliwość konfiguracji z Jenkinsem i przeprowadzę taki proces, również podzielę się wiedzą.