Zed Attack Proxy - Revision history

Mernits: /* Koostas */

2012-12-16T12:09:41Z

Koostas

← Older revision		Revision as of 15:09, 16 December 2012
Line 77:		Line 77:
	===Koostas===		===Koostas===
	Tauri Jaanus AK21 10.12.2012		Tauri Jaanus AK21 10.12.2012
			[[Category:Operatsioonisüsteemide administreerimine ja sidumine]]

Tjaanus: /* Instaleerimine */

2012-12-15T15:05:45Z

Instaleerimine

← Older revision		Revision as of 18:05, 15 December 2012
Line 55:		Line 55:
	Linuxis teha sedasi:		Linuxis teha sedasi:

	wget http://zaproxy.googlecode.com/files/ZAP_1.4.1_Linux.tar.gz ~~-laen alla installika~~		laen alla installika
	mkdir -p /opt/zap/ ~~-teen alam kausta~~		<pre>wget http://zaproxy.googlecode.com/files/ZAP_1.4.1_Linux.tar.gz</pre>
	tar xvzf ZAP_1.4.1_Linux.tar.gz -C /opt/zap/ ~~-pakin lahti~~
	cd /opt/zap/ ~~-liigun kausta~~		teen alam kausta
	zap.sh ~~-käivitan~~		<pre>mkdir -p /opt/zap/</pre>

			pakin lahti
			<pre>tar xvzf ZAP_1.4.1_Linux.tar.gz -C /opt/zap/</pre>

			liigun kausta
			<pre>cd /opt/zap/</pre>

			käivitan
			<pre>zap.sh</pre>

	==Kokkuvõte==		==Kokkuvõte==

Tjaanus at 20:41, 10 December 2012

2012-12-10T20:41:00Z

← Older revision		Revision as of 23:41, 10 December 2012
Line 63:		Line 63:
	==Kokkuvõte==		==Kokkuvõte==

	Kokkuvõtteks on tegemist hea testimis vahendiga, millega on võimalik päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja manuali: http://code.google.com/p/zaproxy/wiki/HelpIntro . Kindlasti on soovitav ~~seda~~ laadi tarkvaraga oma rakendusi testida.		Kokkuvõtteks on tegemist hea testimis vahendiga, millega on võimalik päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja manuali: http://code.google.com/p/zaproxy/wiki/HelpIntro . Kindlasti on soovitav sama laadi tarkvaraga oma rakendusi testida.


	===Koostas===		===Koostas===
	Tauri Jaanus AK21 10.12.2012		Tauri Jaanus AK21 10.12.2012

Tjaanus at 20:30, 10 December 2012

2012-12-10T20:30:29Z

← Older revision		Revision as of 23:30, 10 December 2012
Line 63:		Line 63:
	==Kokkuvõte==		==Kokkuvõte==

	Kokkuvõtteks on tegemist hea testimis vahendiga, millega on võimalik päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja ~~manauali~~: http://code.google.com/p/zaproxy/wiki/HelpIntro		Kokkuvõtteks on tegemist hea testimis vahendiga, millega on võimalik päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja manuali: http://code.google.com/p/zaproxy/wiki/HelpIntro . Kindlasti on soovitav seda laadi tarkvaraga oma rakendusi testida.


	===Koostas===		===Koostas===
	Tauri Jaanus AK21 10.12.2012		Tauri Jaanus AK21 10.12.2012

Tjaanus at 20:25, 10 December 2012

2012-12-10T20:25:01Z

← Older revision		Revision as of 23:25, 10 December 2012
Line 35:		Line 35:
	*Brute Force skanner - lubab kasutada seda kataloogide ja failide vastu. Kaasas on failide kogum, kus sisalduvad enam levinud kataloogide ja failide nimed. See tööriist proovib otse ligi saada kataloogidele ja failidele, mitte otsides nende linke.		*Brute Force skanner - lubab kasutada seda kataloogide ja failide vastu. Kaasas on failide kogum, kus sisalduvad enam levinud kataloogide ja failide nimed. See tööriist proovib otse ligi saada kataloogidele ja failidele, mitte otsides nende linke.

	*Spider - on vahend, millega on võimalik automaatselt otsida uusi resursse(URL) määratud lehel. See alustab otsingut URLide nimekirjast, käib need läbi ja lisab kõik võimalikud oma nimekirja. Sedasi saab ~~veebi lehte~~ kaardistada.		*Spider - on vahend, millega on võimalik automaatselt otsida uusi resursse(URL) määratud lehel. See alustab otsingut URLide nimekirjast, käib need läbi ja lisab kõik võimalikud oma nimekirja. Sedasi saab veebilehte kaardistada.

	*Fuzzer - see on mehhanism, mis saadab valitud sihtmärgile palju puudulikke ja ootamatuid andmeid.		*Fuzzer - see on mehhanism, mis saadab valitud sihtmärgile palju puudulikke ja ootamatuid andmeid.

	*Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi - kiipkaardi-põhise autentimise toetus veebirakendustele, mis kasutavad HTTPS (SSL / TLS) ja X.509 kliendi digitaalsertifikaate. Kui määratud ~~veebi rakendus~~ nõuab digitaalse sertifikaadiga autoriseerimist, siis see oskab juhtida kiipkaardi lugejat ja autoriseerida kasutajat nagu ta teeks seda päriselt.		*Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi - kiipkaardi-põhise autentimise toetus veebirakendustele, mis kasutavad HTTPS (SSL / TLS) ja X.509 kliendi digitaalsertifikaate. Kui määratud veebirakendus nõuab digitaalse sertifikaadiga autoriseerimist, siis see oskab juhtida kiipkaardi lugejat ja autoriseerida kasutajat nagu ta teeks seda päriselt.

	*Pordiskanner - pakub standardset pordiskannerit, mis näitab millised pordid on sihtmärgil avatud.		*Pordiskanner - pakub standardset pordiskannerit, mis näitab millised pordid on sihtmärgil avatud.

	*Dünaamilised SSL sertifikaadid - lubab sul läbipaistvalt lahtikrüpteerida SSL ühendusi. Kuna seda ~~teeb~~ tavaliselt ~~veebi sirvijad~~, siis kasutab selleks man-in-middle (mees keskel) lähenemist. Seega on võimalik näha reaalset SSL ühenduse paketi sisu päringu saatmisel ja vastuse saamisel.		*Dünaamilised SSL sertifikaadid - lubab sul läbipaistvalt lahtikrüpteerida SSL ühendusi. Kuna seda teevad tavaliselt veebilehitsejad, siis kasutab selleks man-in-middle (mees keskel) lähenemist. Seega on võimalik näha reaalset SSL ühenduse paketi sisu päringu saatmisel ja vastuse saamisel.

	*API - annab võimaluse oma rakendusel suhelda otse ZAPi rakendusega.		*API - annab võimaluse oma rakendusel suhelda otse ZAPi rakendusega.
Line 63:		Line 63:
	==Kokkuvõte==		==Kokkuvõte==

	Kokkuvõtteks on hea testimis vahendiga, millega on ~~võimaliks~~ päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja manauali: http://code.google.com/p/zaproxy/wiki/HelpIntro		Kokkuvõtteks on tegemist hea testimis vahendiga, millega on võimalik päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja manauali: http://code.google.com/p/zaproxy/wiki/HelpIntro


	===Koostas===		===Koostas===
	Tauri Jaanus AK21 10.12.2012		Tauri Jaanus AK21 10.12.2012

Tjaanus: /* Sissejuhatus */

2012-12-10T20:19:53Z

Sissejuhatus

← Older revision		Revision as of 23:19, 10 December 2012
Line 1:		Line 1:
	==Sissejuhatus==		==Sissejuhatus==

	Zed Attack Proxy (ZAP). Tegu on kergesti kasutatava ~~veebi rakenduste~~ turvalisuse ~~testimise~~ mõeldud tarkvaraga. Tarkvara on mõeldud turvaspetsialistidele ja ka arendajatele ning testijatele, oma tarkvara turvalisuse testimiseks. See sisaldab automaatseid ~~skaneerimis vahendeid~~ ja ka manuaalseid tööriistu, millega on võimalik turvaauke otsida.		Zed Attack Proxy (ZAP). Tegu on kergesti kasutatava veebirakenduste turvalisuse testimiseks mõeldud tarkvaraga. Tarkvara on mõeldud turvaspetsialistidele ja ka arendajatele ning testijatele oma tarkvara turvalisuse testimiseks. See sisaldab automaatseid skaneerimisvahendeid ja ka manuaalseid tööriistu, millega on võimalik turvaauke otsida.

	Selles sisalduvad antud funktsionaalsused:		Selles sisalduvad antud funktsionaalsused:
Line 21:		Line 21:
	*Mac OS X		*Mac OS X

	Eelduseks on Java ~~olemas olu~~.		Eelduseks on Java olemasolu.

	Toetatud on ka erinevad keeled. Programmi paketti uuendatakse iga nädal.		Toetatud on ka erinevad keeled. Programmi paketti uuendatakse iga nädal.
Line 29:		Line 29:

	*Automaatne skanner - aktiivne skaneerimine proovib leida võimalikke nõrku kohti, kasutades tuntud ründeid valitud sihtmärgi vastu.		*Automaatne skanner - aktiivne skaneerimine proovib leida võimalikke nõrku kohti, kasutades tuntud ründeid valitud sihtmärgi vastu.
	Kuna tegu on ~~ründe mehanismiga~~, siis ei tohiks kasutada seda ~~veebi rakenduste~~ vastu, mida ei omata. Lisaks ei ole aktiivne skaneerimine mõeldud kõikide nõrkuste jaoks. See ei leia näiteks katkist ~~ligipääsu poliitikat~~. Seetõttu peaks alati kasutama ka manuaalseid tööriistu lisaks automaatsetele.		Kuna tegu on ründemehhanismiga, siis ei tohiks kasutada seda veebirakenduste vastu, mida ei omata. Lisaks ei ole aktiivne skaneerimine mõeldud kõikide nõrkuste jaoks. See ei leia näiteks katkist ligipääsupoliitikat. Seetõttu peaks alati kasutama ka manuaalseid tööriistu lisaks automaatsetele.

	*~~Pasiivne~~ skanner - see uurib kõiki vastuseid mille sai veebi rakenduselt ning ei muuda neid. Seega on turvaline seda kasutada. Skaneerimine toimub taustas, et rakenduse tööd ei aeglustaks.		*Passiivne skanner - see uurib kõiki vastuseid mille sai veebi rakenduselt ning ei muuda neid. Seega on turvaline seda kasutada. Skaneerimine toimub taustas, et rakenduse tööd ei aeglustaks.

	*Brute Force skanner - lubab kasutada seda kataloogide ja failide vastu. ~~Kaasa~~ on failide kogum, kus sisalduvad enam levinud kataloogide ja failide nimed. See tööriist proovib ~~otsa ligisaada~~ kataloogidele ja failidele, mitte ~~ei otsi~~ linke ~~nendele~~.		*Brute Force skanner - lubab kasutada seda kataloogide ja failide vastu. Kaasas on failide kogum, kus sisalduvad enam levinud kataloogide ja failide nimed. See tööriist proovib otse ligi saada kataloogidele ja failidele, mitte otsides nende linke.

	*Spider - on vahend, millega on võimalik automaatselt otsida uusi resursse(URL) määratud lehel. See alustab otsingut URLide nimekirjast, käib need läbi ja lisab kõik võimalikud oma nimekirja. Sedasi saab veebi lehte kaardistada.		*Spider - on vahend, millega on võimalik automaatselt otsida uusi resursse(URL) määratud lehel. See alustab otsingut URLide nimekirjast, käib need läbi ja lisab kõik võimalikud oma nimekirja. Sedasi saab veebi lehte kaardistada.

Tjaanus at 20:13, 10 December 2012

2012-12-10T20:13:53Z

← Older revision		Revision as of 23:13, 10 December 2012
Line 20:		Line 20:
	*Linux		*Linux
	*Mac OS X		*Mac OS X

			Eelduseks on Java olemas olu.

	Toetatud on ka erinevad keeled. Programmi paketti uuendatakse iga nädal.		Toetatud on ka erinevad keeled. Programmi paketti uuendatakse iga nädal.
Line 50:		Line 52:

	Tarkvara on allalaetav lehelt: https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project		Tarkvara on allalaetav lehelt: https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

			Linuxis teha sedasi:

			wget http://zaproxy.googlecode.com/files/ZAP_1.4.1_Linux.tar.gz -laen alla installika
			mkdir -p /opt/zap/ -teen alam kausta
			tar xvzf ZAP_1.4.1_Linux.tar.gz -C /opt/zap/ -pakin lahti
			cd /opt/zap/ -liigun kausta
			zap.sh -käivitan

			==Kokkuvõte==

			Kokkuvõtteks on hea testimis vahendiga, millega on võimaliks päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja manauali: http://code.google.com/p/zaproxy/wiki/HelpIntro


	~~====jätkub====~~
	===Koostas===		===Koostas===
	Tauri Jaanus AK21 10.12.2012		Tauri Jaanus AK21 10.12.2012

Tjaanus: /* Sissejuhatus */

2012-12-10T19:07:42Z

Sissejuhatus

← Older revision		Revision as of 22:07, 10 December 2012
Line 15:		Line 15:
	*API		*API
	*BeanShell integratsioon		*BeanShell integratsioon

			Toetatud operatsiooni süsteemid:
			*Windows
			*Linux
			*Mac OS X

			Toetatud on ka erinevad keeled. Programmi paketti uuendatakse iga nädal.

	===Funktsionaalsus===		===Funktsionaalsus===
Line 39:		Line 46:

	*BeanShell integratsioon - tegu on interaktiivse Java kestaga, mis lubab käivitada BeanShell skripte. Need skriptid on lihtsustatud kujul Java, mis kasutab palju Java süntaksit, kuid on lihtsamas skriptimis formaadis.		*BeanShell integratsioon - tegu on interaktiivse Java kestaga, mis lubab käivitada BeanShell skripte. Need skriptid on lihtsustatud kujul Java, mis kasutab palju Java süntaksit, kuid on lihtsamas skriptimis formaadis.

			==Instaleerimine==

			Tarkvara on allalaetav lehelt: https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project


	====jätkub====		====jätkub====
	===Koostas===		===Koostas===
	Tauri Jaanus AK21 10.12.2012		Tauri Jaanus AK21 10.12.2012

Tjaanus at 18:56, 10 December 2012

2012-12-10T18:56:40Z

← Older revision		Revision as of 21:56, 10 December 2012
Line 11:		Line 11:
	*Fuzzer		*Fuzzer
	*Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi		*Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi
			*Pordiskanner
			*Dünaamilised SSL sertifikaadid
			*API
			*BeanShell integratsioon

	===Funktsionaalsus===		===Funktsionaalsus===
Line 29:		Line 32:
	*Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi - kiipkaardi-põhise autentimise toetus veebirakendustele, mis kasutavad HTTPS (SSL / TLS) ja X.509 kliendi digitaalsertifikaate. Kui määratud veebi rakendus nõuab digitaalse sertifikaadiga autoriseerimist, siis see oskab juhtida kiipkaardi lugejat ja autoriseerida kasutajat nagu ta teeks seda päriselt.		*Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi - kiipkaardi-põhise autentimise toetus veebirakendustele, mis kasutavad HTTPS (SSL / TLS) ja X.509 kliendi digitaalsertifikaate. Kui määratud veebi rakendus nõuab digitaalse sertifikaadiga autoriseerimist, siis see oskab juhtida kiipkaardi lugejat ja autoriseerida kasutajat nagu ta teeks seda päriselt.

			*Pordiskanner - pakub standardset pordiskannerit, mis näitab millised pordid on sihtmärgil avatud.

			*Dünaamilised SSL sertifikaadid - lubab sul läbipaistvalt lahtikrüpteerida SSL ühendusi. Kuna seda teeb tavaliselt veebi sirvijad, siis kasutab selleks man-in-middle (mees keskel) lähenemist. Seega on võimalik näha reaalset SSL ühenduse paketi sisu päringu saatmisel ja vastuse saamisel.

			*API - annab võimaluse oma rakendusel suhelda otse ZAPi rakendusega.

			*BeanShell integratsioon - tegu on interaktiivse Java kestaga, mis lubab käivitada BeanShell skripte. Need skriptid on lihtsustatud kujul Java, mis kasutab palju Java süntaksit, kuid on lihtsamas skriptimis formaadis.

	====jätkub====		====jätkub====
	===Koostas===		===Koostas===
	Tauri Jaanus AK21 10.12.2012		Tauri Jaanus AK21 10.12.2012

Tjaanus at 18:39, 10 December 2012

2012-12-10T18:39:19Z

← Older revision		Revision as of 21:39, 10 December 2012
Line 10:		Line 10:
	*Spider (ämblik)		*Spider (ämblik)
	*Fuzzer		*Fuzzer
			*Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi


	===Funktsionaalsus===		===Funktsionaalsus===
Line 24:		Line 26:

	*Fuzzer - see on mehhanism, mis saadab valitud sihtmärgile palju puudulikke ja ootamatuid andmeid.		*Fuzzer - see on mehhanism, mis saadab valitud sihtmärgile palju puudulikke ja ootamatuid andmeid.

			*Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi - kiipkaardi-põhise autentimise toetus veebirakendustele, mis kasutavad HTTPS (SSL / TLS) ja X.509 kliendi digitaalsertifikaate. Kui määratud veebi rakendus nõuab digitaalse sertifikaadiga autoriseerimist, siis see oskab juhtida kiipkaardi lugejat ja autoriseerida kasutajat nagu ta teeks seda päriselt.