Zed Attack Proxy

Sissejuhatus

Zed Attack Proxy (ZAP). Tegu on kergesti kasutatava veebirakenduste turvalisuse testimiseks mõeldud tarkvaraga. Tarkvara on mõeldud turvaspetsialistidele ja ka arendajatele ning testijatele oma tarkvara turvalisuse testimiseks. See sisaldab automaatseid skaneerimisvahendeid ja ka manuaalseid tööriistu, millega on võimalik turvaauke otsida.

Selles sisalduvad antud funktsionaalsused:

• Pealtkuulamis proxy
• Automaatne skanner
• Pasiivne skanner
• Brute Force (toore jõu) skanner
• Spider (ämblik)
• Fuzzer
• Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi
• Pordiskanner
• Dünaamilised SSL sertifikaadid
• API
• BeanShell integratsioon

Toetatud operatsiooni süsteemid:

• Windows
• Linux
• Mac OS X

Eelduseks on Java olemasolu.

Toetatud on ka erinevad keeled. Programmi paketti uuendatakse iga nädal.

Funktsionaalsus

• Pealtkuulamis proxy - ZAP on pealtkuulamist Proxy. See võimaldab teil näha kõiki tehtud päringuid veebirakendusele ja kõik päringu vastuseid, mis päringutele vastavad. Muuhulgas see võimaldab näha AJAX toiminguid, mida muidu ei pruugi näha.

• Automaatne skanner - aktiivne skaneerimine proovib leida võimalikke nõrku kohti, kasutades tuntud ründeid valitud sihtmärgi vastu.

Kuna tegu on ründemehhanismiga, siis ei tohiks kasutada seda veebirakenduste vastu, mida ei omata. Lisaks ei ole aktiivne skaneerimine mõeldud kõikide nõrkuste jaoks. See ei leia näiteks katkist ligipääsupoliitikat. Seetõttu peaks alati kasutama ka manuaalseid tööriistu lisaks automaatsetele.

• Passiivne skanner - see uurib kõiki vastuseid mille sai veebi rakenduselt ning ei muuda neid. Seega on turvaline seda kasutada. Skaneerimine toimub taustas, et rakenduse tööd ei aeglustaks.

• Brute Force skanner - lubab kasutada seda kataloogide ja failide vastu. Kaasas on failide kogum, kus sisalduvad enam levinud kataloogide ja failide nimed. See tööriist proovib otse ligi saada kataloogidele ja failidele, mitte otsides nende linke.

• Spider - on vahend, millega on võimalik automaatselt otsida uusi resursse(URL) määratud lehel. See alustab otsingut URLide nimekirjast, käib need läbi ja lisab kõik võimalikud oma nimekirja. Sedasi saab veebilehte kaardistada.

• Fuzzer - see on mehhanism, mis saadab valitud sihtmärgile palju puudulikke ja ootamatuid andmeid.

• Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi - kiipkaardi-põhise autentimise toetus veebirakendustele, mis kasutavad HTTPS (SSL / TLS) ja X.509 kliendi digitaalsertifikaate. Kui määratud veebirakendus nõuab digitaalse sertifikaadiga autoriseerimist, siis see oskab juhtida kiipkaardi lugejat ja autoriseerida kasutajat nagu ta teeks seda päriselt.

• Pordiskanner - pakub standardset pordiskannerit, mis näitab millised pordid on sihtmärgil avatud.

• Dünaamilised SSL sertifikaadid - lubab sul läbipaistvalt lahtikrüpteerida SSL ühendusi. Kuna seda teevad tavaliselt veebilehitsejad, siis kasutab selleks man-in-middle (mees keskel) lähenemist. Seega on võimalik näha reaalset SSL ühenduse paketi sisu päringu saatmisel ja vastuse saamisel.

• API - annab võimaluse oma rakendusel suhelda otse ZAPi rakendusega.

• BeanShell integratsioon - tegu on interaktiivse Java kestaga, mis lubab käivitada BeanShell skripte. Need skriptid on lihtsustatud kujul Java, mis kasutab palju Java süntaksit, kuid on lihtsamas skriptimis formaadis.

Instaleerimine

Tarkvara on allalaetav lehelt: https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

Linuxis teha sedasi:

laen alla installika

wget http://zaproxy.googlecode.com/files/ZAP_1.4.1_Linux.tar.gz

teen alam kausta

mkdir -p /opt/zap/

pakin lahti

tar xvzf ZAP_1.4.1_Linux.tar.gz -C /opt/zap/

liigun kausta

cd /opt/zap/

käivitan

zap.sh

Kokkuvõte

Kokkuvõtteks on tegemist hea testimis vahendiga, millega on võimalik päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja manuali: http://code.google.com/p/zaproxy/wiki/HelpIntro . Kindlasti on soovitav sama laadi tarkvaraga oma rakendusi testida.

Koostas

Tauri Jaanus AK21 10.12.2012