あうとぷっと

いんぷっとの整理とあうとぷっとの場

ZAPの特徴

記事の要約

  • ZAPはローカル・プロキシとして機能するツール
  • 自動診断だけでなく、手動診断の補助ツールとしても利用が出来る

目次

特徴

ZAPはローカル・プロキシとして動作するツールです。
経由させたリクエストやレスポンスはZAPが管理しており、スキャン時に利用することができます。
自動診断だけではなく、手動診断の補助ツールとして利用できます。

f:id:ykameda48:20200523140927p:plain
ZAPの特徴

ZAPとは

記事の要約

  • ZAPの説明と機能を紹介しています

目次

ZAPとは

Zed Attack Proxy(以下、ZAP)は、OWASP が開発した Web アプリケーションの脆弱性を検出する ためのフリーツールで、現在でも開発が進められており、定期的にバージョンアップされます。

実装されている主な機能

  • 動的スキャン

    設定したスキャンポリシーで選択したサイト、またはノードに対してスキャンを実行します。

  • 強制ブラウズ

    設定したリストの文字列で、選択したサイトにファイルが存在していないか、クロールします。

  • スパイダー検索

    選択したサイトに対して、クロールします。

  • Fuzzer

    設定したリストの文字列で、任意の文字列を置換してリクエストを送信します。

  • ローカル・プロキシ

    Web ブラウザからのリクエストをキャプチャできます。また、リクエストやレスポンスをインターセプトして 改ざんすることができます。

  • レポート出力

    簡易ですが、スキャン結果をレポート出力できます。

  • HttpSessions

    使用しているセッションの一覧が表示されます。また新たにセッションを発行したり、セッションを切り替 えたりといった事が可能です。

  • WebSockets

    WebSoket による通信の内容確認が可能です。

  • AJAX Spider

    ZAPが自動的に実際にブラウザを立ち上げ、操作してクロールを行います。JavaScriptを多用するサ イトに有効です。

  • Zest

    スクリプトを組むことによって複雑な診断操作を実現することができます。

ZAP 2.9.0をインストールする(Windows編)

記事の要約

  • ZAP公式サイトからインストーラをダウンロードしインストールする
  • エラーが出なければ、インストールは完了です

目次

ダウンロード

ZAP公式Webサイトより、ファイルをダウンロードします。 www.zaproxy.org

以下の箇所からダウンロードできます。
利用する端末の環境に応じて選択してください、今回は上の64bit版で説明します。

f:id:ykameda48:20200516225153p:plain
ZAPダウンロード画面

インストール

f:id:ykameda48:20200516225400p:plain

ユーザアカウント制御の画面が出る場合は、「はい」を選択してください。
実行権限が無い場合は、管理者権限でインストールしてください。

f:id:ykameda48:20200516225600p:plain
インストール初期画面

「承認する」を選択し、「次へ」を押して進んでください。

f:id:ykameda48:20200516225741p:plain
ライセンス契約画面

基本的には「標準インストール」を選択し、「次へ」進んでください。
「カスタムインストール」を選択すると、「インストール先の選択」画面へ進みます。

f:id:ykameda48:20200516225834p:plain
インストール形式選択画面

「インストール」を選択すると、インストールが始まります。

f:id:ykameda48:20200516230056p:plain
インストール開始画面

古いバージョンをインストールしている場合は、既にファイルが存在している場合がありますが、「すべてはい」と上書きをして問題ありません。

f:id:ykameda48:20200516230258p:plain
ファイルが既に存在する場合

以下の画面が表示されたらインストールは無事完了です。
「終了」を押してください。

f:id:ykameda48:20200516230339p:plain
インストール完了画面

デスクトップにショートカットが作成されているので、選択してZAPを起動してください。

f:id:ykameda48:20200516230537p:plain
デスクトップ画面のショートカット