Het is ontworpen om te worden gebruikt door beginners in beveiliging of door experts met uitgebreide kennis van beveiliging. Het is zeer belangrijke software voor ontwikkelaars en serverbeheerders die functionele beveiligingspenetratietests willen doen.
Enkele bedrijven die ZAP gebruiken en ermee samenwerken zijn: OWASP, Mozilla, Google, Microsoft en anderen.
Zap kan worden gedownload van de officiële pagina van OWASP Zed Attack Proxy Project, er zijn versies voor verschillende native platforms of een multiplatform in Java.
Eenmaal gedownload, pakken we het bestand uit en voeren het uit zoals elke Java-software, in dit geval gebruiken we Linux.
Vanuit elk besturingssysteem kunnen we uitvoeren vanaf een directe toegang of vanaf een terminal met het commando
java -jar zap-2.4.2.jar
We voegen het IP-adres toe aan het tekstvak URL om aan te vallen en klikken vervolgens op de knop Aanvallen. Na het scannen van alle pagina's die op internet zijn gevonden, verkrijgen we het resultaat.
X-Frame, een kwetsbaarheid waarmee je een complete website in een iframe kunt weergeven en zo iemand laat denken dat hij op een website surft terwijl hij in werkelijkheid een andere in het iframe heeft. Stel dat we een website maken, we nemen Facebook op in het ene iframe en een Paypal-formulier in het andere, en simuleren dat Facebook kosten in rekening brengt voor registratie, dus bij elke website zou de betaling daadwerkelijk naar de aanvaller gaan.
if (top! = zelf) {top.onbeforeunload = functie () {}; top.locatie.replace (zelf.locatie.href); }Een andere kwetsbaarheid die in dit IP wordt gevonden, is dat het geen XSS-beveiliging heeft, dit kan worden geïmplementeerd afhankelijk van de programmeertaal die we gebruiken.Voorkomen XSS-aanvallen het is gemakkelijk, er zijn veel bibliotheken die in elke webtoepassing kunnen worden gebruikt.
De methode omvat het verifiëren van de gegevens die gebruikers invoeren of van een externe gegevensbron of een parameter die via url is verzonden.
Deze zorgen zijn de enige waar we rekening mee moeten houden om te voorkomen XSS-aanvallen en de beveiliging verhogen die XSS-aanvallen voorkomt, hiervoor moeten we gegevensvalidatie uitvoeren, de gegevens die de applicatie ontvangt controleren en voorkomen dat gevaarlijke code wordt gebruikt of uitgevoerd wanneer gegevens worden ingevoerd.
Voorbeeld functie strip_tag () in php
Deze functie verwijdert elk html-teken dat de variabele $ description bevat, behalve degene die het autoriseert, zoals in dit geval
alinea en dikgedrukt lettertype
,’); SQL-injectietool Zelfstudies over computerbeveiliging $ beschrijving = strip_tags ($ _ POST [beschrijving], ’
Nu we de eerste analyse hebben bereikt, zullen we verschillende tools en plug-ins gaan toepassen om Fuzzing te doen, het wordt Fuzzing genoemd voor het gebruik van verschillende testtechnieken die gegevens op een massale en sequentiële manier naar de applicatie sturen, om te proberen te detecteren kwetsbaarheden op het web of in de software die we analyseren.
We nemen bijvoorbeeld elke website die mogelijk kwetsbaar is van het type
http: //www.dominio/i… rdetalle & id = 105
In een andere SQLMAP-tutorial, de SQL-injectietool en het hacken van ethische databases, legde hij uit dat een gemakkelijke manier om een te analyseren website te vinden, is om section.php?Id = in de Google-zoekmachine te plaatsen en we zullen duizenden websites zien die kwetsbaar kunnen zijn . Hier heb je het voor het geval je geïnteresseerd bent:
Hier kunnen we het type aanval selecteren dat moet worden uitgevoerd, het type File fuzzer selecteren en de Payload-injectie kiezen die xss-aanvallen dekt, sql-injectie-aanval onder andere en sql-injectie die alle sql-aanvallen dekt. We kunnen veel verschillende soorten aanvallen toevoegen en testen uit de lijst die Zap ons biedt.
Een andere analyse die we kunnen uitvoeren, is door de payload van de webserver te selecteren, in dit geval zullen we zien dat we een probleem hebben met sessies en cookies omdat ze kunnen worden gelezen vanuit de browser die we gebruiken.
VERGROTEN
We gaan bijvoorbeeld een payload toevoegen, we selecteren het domein of de hoofdpagina met de rechterknop en we gaan naar Attack> Fuzz, dan klikken we op Add, dan in het Payload-scherm klikken we op Add, we selecteren File Fuzzer type en in jbrofuzz hebben we Zero Fuzzers geselecteerd.
Deze tests zijn niet sluitend, ze zijn slechts een waarschuwing zodat we het onderzoek kunnen verdiepen. Deze aanvalssimulaties en geautomatiseerde scans kunnen een snelle oplossing bieden voor het controleren van websites.
Het is belangrijk dat deze tools met zorg en ethische doeleinden worden gebruikt, aangezien ze ook worden gebruikt door webmasters en degenen die servers en kwaadwillende hackers beheren. OWASP ZAP is een tool die veel wordt gebruikt door mensen die etisch hacken voor hun werk aan het controleren en testen van webbeveiligingstoepassingen.
Voor meer informatie over IT-beveiliging met andere technieken, aanvallen, hacken etc. blijf op de hoogte en deel je kennis hier:
