ZAP tool cho người mới bắt đầu

This post hasn't been updated for 5 years

Security Testing:

Kiểm thử bảo mật là kiểm tra ứng dụng để tìm ra các lỗ hỏng về bảo mật.
Các website/ app về buôn bán, ngân hàng, mạng xã hội,... có thể bị nhiễm virus bất cứ lúc nào nên kiểm thử bảo mật là cần thiết và quan trọng.

Giới thiệu về ZAP

OWASP Zed Attack Proxy (ZAP) là một công cụ miễn phí và phổ biến được duy trì bởi hằng trăm nghìn tình nguyện viên trên toàn thế giới. Nó là công cụ bổ ích khi kiểm tra bảo mật thủ công vì nó giúp chúng ta tìm ra các lỗ hỏng bảo mật trên website một cách tự động.
ZAP là được gọi là "man-in-the-middle proxy", nó đứng giữa trình duyệt của người test và ứng dụng web, nó có thể ngăn chặn và kiểm trả các thông điệp được gửi đi, sửa đổi và gửi tiếp các thông điệp đó đến đích.

Và nếu một network proxy khác được sử dụng, ZAP có thể được cấu hình để connect với proxy đó.

Những lý do bạn nên sử dụng ZAP:

ZAP được set up nhanh chóng, dễ dàng.
Hỗ trợ trên nhiều nền tảng như Windows, Linux, MacOS, Cross platform package.
Nó không yêu cầu bạn có nhiều kiến thức về Kiểm thử bảo mật.
Kiểm thử được thực hiện một cách tự động, bạn có thể thực hiện các kiểm thử manual khác trong lúc đó.
Liệt kê tất cả các lỗ hỏng mà ZAP quét được từ ứng dụng của bạn.
Cung cấp giải pháp cho deverloper ngăn chặn các lỗi bảo mật.
Quét tất cả các trang and highlight vùng bị ảnh hưởng bởi lỗ hỏng bảo mật.
Cung cấp thông tin cho một bản báo cáo chi tiết.

Các tính năng của ZAP

Intercepting Proxy
Traditional and AJAX spiders
Automated scanner
Passive scanner
Forced browsing
Fuzzer
Dynamic SSL certificates
Smartcard and Client Digital Certificates support
Web sockets support
Support for a wide range of scripting languages
Plug-n-Hack support
Authentication and session support
Powerful REST based API
Automatic updating option
Integrated and growing marketplace of add-ons

Install ZAP Bạn có thể download ZAP từ Owasp.org Chú ý là bạn cần cài đặt Java 8+ trước khi cài ZAP version 2.8.0

Sử dụng ZAP tool với chế độ Automated scan

Bước 1:

Khi open App bạn sẽ được lựa chọn có lưu giữ lại Session hay không. Theo mặc định, ZAP session sẽ được ghi vào đĩa ở HSQLDB với tên và location mặc định. Nếu bạn lựa chọn không duy trì session, các tệp được ghi sẽ được xóa khi thoát ZAP. Nếu bạn duy trì session, thông tin sẽ được ghi lại, bạn sẽ có thể truy cập lại tệp và tùy chỉnh tên và vị trí.

Bước 2:

Nhập URL của website mà bạn muốn check vào field URL to attack

Bước 3:

Click Attack button

Zap sẽ scan tự động website mà bạn đã nhập và show các report các lỗ hỏng tìm được ở Tab Alert. Các báo cáo được thể hiện theo từng loại lỗi hỏng và show số lượng lỗi tìm được của từng lỗ hỏng và URL tìm ra nó. Các loại warming sẽ khác nhau tùy thuộc vào trang web của bạn, ví dụ như:

X-Frame-Options Header Scanner
Session ID in URL Rewrite
Cookie Without Secure Flag
Private IP Disclosure

Bước 4:

Bạn có thể xem các thông tin chi tiết của lỗ hỏng bằng cách click vào một lỗ hỏng bất kỳ từ tab Alert. Các dòng code gây ra lỗi sẽ được highlight như ảnh dưới đây

Ngoài ra, bạn có thể tìm được giải pháp được suggest ở mục Solution, thông tin lỗ hỏng ở Description và thông tin tham khảo ở Reference

Các trang web bạn có thể thực hành

Refer: https://bit.ly/2J15wjs https://www.zaproxy.org/ https://bit.ly/2OYxLDa https://bit.ly/1QNCwIb https://bit.ly/31r1cQw https://bit.ly/2MQ8RD1 ZAPGettingStartedGuide-2.8.pdf

ZAP security testing tool

Table of contents