OWASP ZAP – инструмент тестирования безопасности веб-приложений

Сегодня мы собираемся представить полезный инструмент для охотников за ошибками, который специально разработан для проверки безопасности любого веб-приложения. OWASP ZAP - это сканер безопасности веб-приложений с открытым исходным кодом. Он предназначен для использования как новичками в безопасности приложений, так и профессиональными тестировщиками на проникновение. Он стал одним из наиболее широко используемых инструментов с открытым исходным кодом для динамического тестирования безопасности приложений (DAST), поддерживаемых OWASP.Если вы хотите узнать больше об этом проекте, вы также можете прочитать здесь.

Установка OWASP ZAP

В нашем случае мы используем операционную систему Kali Linux. Сначала вам нужно загрузить его отсюда, а затем перенести в удобное место, откуда вы сможете легко управлять им. После выполнения всех этих шагов загрузите сканер с помощью команды bash.

bash ZAP * .sh

После запуска скрипта bash интерфейс GUI немедленно становится активным. Чтобы настроить этот инструмент, вам нужно нажать “Далее“.

Теперь примите соглашение и продолжайте.

Теперь нажмите на кнопку установки, чтобы продолжить установку.

Мы должны быть терпеливы, так как установка может занять некоторое время.

Даже будучи инструментом с открытым исходным кодом, он обладает множеством функций, которые мы никогда не найдем даже в платных инструментах. Давайте рассмотрим возможности этого инструмента.

Различные режимы

Начиная с версии 2.5.0, ZAP можно использовать в одном из четырех режимов:

Безопасный режим: безопасный режим позволит избежать чего-либо потенциально опасного.
Режим атаки: режим атаки будет агрессивно пытаться атаковать новые URL-адреса, как только они будут обнаружены.
Защищенный режим: если требуется тестирование с помощью пера на сайтах, на которые у вас есть разрешение на тестирование, можно использовать защищенный режим.
Стандартный режим: стандартный режим допускает все типы атак.

Форматы отчетов

Как вы можете видеть на изображении ниже, этот инструмент имеет несколько доступных опций (форматов) для сохранения результата.

Списки инструментов

Как вы можете видеть, сколько разных -2 типа инструментов доступны для проникновения в любое веб-приложение. Все важные функции этого инструмента были отображены, и теперь нам нужно перейти к атаке.