【ZAP】OWASP ZAP ～入門編～

Test tool

OWASP ZAP

 * OWASP(Open Web Application Security Project。「オワスペ」)で開発された
   オープンソースの脆弱性検査ツール

補足

 * 以下のIPAのサイトで「Paros」と比較しているが、OWASP ZAPは「Paros」をベースに開発
https://www.ipa.go.jp/about/technicalwatch/20131212.html

環境設定

動画

https://www.youtube.com/watch?v=NT_tnOpR1mo
に設定している動画がある

事前準備

 * Javaで作成されているので、Java 7以上のJRE/JDKをインストールしておく

ダウンロード/インストール

[1] 以下からダウンロードする
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project
[2] ダウンロードしたEXEファイル（今回は「ZAP_2.4.3_Windows.exe」）を起動し、
    デフォルトでインストールする
# 特に迷わないはず
# デフォルトで入れてたらディスクトップにショートカットアイコンがあるはず

[2] OWASP ZAP X.X.X(今回は「OWASP ZAP 2.4.3」)を起動する
[3] ダイアログ「Do you want to persist the zap session?」が表示されるので
    以下のサイトを参照して、適切な選択肢を選び、開始ボタン押下
# 今回、特に初めてインストールしたので
# 「Yes, I want to persist this session with name based on the current timestamp」を選んだ
http://www.pupha.net/archives/3056/

OWASP ZAPの実行（クイックスタート）

[1] クイックスタートタブの「攻撃対象URL」に、検査対象先のURL（例「http://localhost:8080/」）を設定
[2] 「攻撃」ボタン押下で検査開始
 => 何か問題があれば、アラートタブで表示される

ちなみに、テスト用のためのサイトを立ち上げて、診断してみたら
「X-Content-Type-Options header Missing」が表示された。
# 以下の関連記事で扱った「X-Content-Type-Options: nosniff」を付加すればいいかと。
http://blogs.yahoo.co.jp/dk521123/35872133.html

注意

 * 初めに診断する際は、必ずテスト環境で行うこと（間違っても本番環境では行わない事）
   (以下に経験談ある)
http://www.slideshare.net/zaki4649/sql-35102177

参考文献

http://securitymemo.blogspot.jp/2014/11/owasp-zap-owasp-zap.html
http://tech.sanwasystem.com/entry/2015/08/24/000000
http://www.lancork.net/2013/08/find-vulnerability-owasp-zap/
http://teamduet.hatenablog.com/entry/2014/11/26/171453
http://securitymemo.blogspot.jp/2014/12/owasp-zap.html
運用マニュアル
https://docs.google.com/file/d/0B1e1Cma1GUllazNUNVp6OWdGYzg/edit
豊富な内容
http://www.pupha.net/owasp-zap/

関連記事

セキュリティ強化に有効なレスポンス・ヘッダー

http://blogs.yahoo.co.jp/dk521123/35872133.html