セキュリティ/OWASPZAP

OWASP ZAPとは

脆弱性診断ツールでParosを元にしている

公式：https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

OWASP ZAPのダウンロード

https://github.com/zaproxy/zaproxy/wiki/Downloads

注意

自サイト以外には絶対に脆弱性診断しないように 仮に、診断をした場合は、攻撃とみなされ、損害賠償をされる恐れもあります。

プロテクトをする

1. 誤って攻撃するおそれがあるので、最初の段階で
2. 左上のプロテクトボタンを押しておく

ネットワークポート変更

preference/オプション/LocalProxiesでポートを変更 8089(適当に)

ブラウザ側のポートの変更

firefox/環境/ネットワークプロキシ 8089(適当に)

対象ページの登録

1. ポート変更したブラウザでアクセスすると
2. owaspクライアントの左側のサイトに登録される

脆弱性診断準備

1. サイトを右クリックし、NewContextを選択し、サイトをコンテキストに登録する
2. 登録したサイトのアイコンが赤くなるのを確認する

脆弱性診断準備

1. 間違い防止のためサイトに対象サイト以外があるときは削除しておく
2. 対象サイトを右クリックし、攻撃/動的スキャンを選択

レポート生成

レポート/レポート生成でhtml出力される

参考

https://qiita.com/sangi/items/ba7e3d39237045c9be36