Zed Attack Proxy

Sissejuhatus

Zed Attack Proxy (ZAP). Tegu on kergesti kasutatava veebirakenduste turvalisuse testimiseks mõeldud tarkvaraga. Tarkvara on mõeldud turvaspetsialistidele ja ka arendajatele ning testijatele oma tarkvara turvalisuse testimiseks. See sisaldab automaatseid skaneerimisvahendeid ja ka manuaalseid tööriistu, millega on võimalik turvaauke otsida.

Selles sisalduvad antud funktsionaalsused:

• Pealtkuulamis proxy
• Automaatne skanner
• Pasiivne skanner
• Brute Force (toore jõu) skanner
• Spider (ämblik)
• Fuzzer
• Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi
• Pordiskanner
• Dünaamilised SSL sertifikaadid
• API
• BeanShell integratsioon

Toetatud operatsiooni süsteemid:

• Windows
• Linux
• Mac OS X

Eelduseks on Java olemasolu.

Toetatud on ka erinevad keeled. Programmi paketti uuendatakse iga nädal.

Funktsionaalsus

• Pealtkuulamis proxy - ZAP on pealtkuulamist Proxy. See võimaldab teil näha kõiki tehtud päringuid veebirakendusele ja kõik päringu vastuseid, mis päringutele vastavad. Muuhulgas see võimaldab näha AJAX toiminguid, mida muidu ei pruugi näha.

• Automaatne skanner - aktiivne skaneerimine proovib leida võimalikke nõrku kohti, kasutades tuntud ründeid valitud sihtmärgi vastu.

Kuna tegu on ründemehhanismiga, siis ei tohiks kasutada seda veebirakenduste vastu, mida ei omata. Lisaks ei ole aktiivne skaneerimine mõeldud kõikide nõrkuste jaoks. See ei leia näiteks katkist ligipääsupoliitikat. Seetõttu peaks alati kasutama ka manuaalseid tööriistu lisaks automaatsetele.

• Passiivne skanner - see uurib kõiki vastuseid mille sai veebi rakenduselt ning ei muuda neid. Seega on turvaline seda kasutada. Skaneerimine toimub taustas, et rakenduse tööd ei aeglustaks.

• Brute Force skanner - lubab kasutada seda kataloogide ja failide vastu. Kaasas on failide kogum, kus sisalduvad enam levinud kataloogide ja failide nimed. See tööriist proovib otse ligi saada kataloogidele ja failidele, mitte otsides nende linke.

• Spider - on vahend, millega on võimalik automaatselt otsida uusi resursse(URL) määratud lehel. See alustab otsingut URLide nimekirjast, käib need läbi ja lisab kõik võimalikud oma nimekirja. Sedasi saab veebi lehte kaardistada.

• Fuzzer - see on mehhanism, mis saadab valitud sihtmärgile palju puudulikke ja ootamatuid andmeid.

• Kiipkaardi ja kliendi digitaalsete sertifikaatide tugi - kiipkaardi-põhise autentimise toetus veebirakendustele, mis kasutavad HTTPS (SSL / TLS) ja X.509 kliendi digitaalsertifikaate. Kui määratud veebi rakendus nõuab digitaalse sertifikaadiga autoriseerimist, siis see oskab juhtida kiipkaardi lugejat ja autoriseerida kasutajat nagu ta teeks seda päriselt.

• Pordiskanner - pakub standardset pordiskannerit, mis näitab millised pordid on sihtmärgil avatud.

• Dünaamilised SSL sertifikaadid - lubab sul läbipaistvalt lahtikrüpteerida SSL ühendusi. Kuna seda teeb tavaliselt veebi sirvijad, siis kasutab selleks man-in-middle (mees keskel) lähenemist. Seega on võimalik näha reaalset SSL ühenduse paketi sisu päringu saatmisel ja vastuse saamisel.

• API - annab võimaluse oma rakendusel suhelda otse ZAPi rakendusega.

• BeanShell integratsioon - tegu on interaktiivse Java kestaga, mis lubab käivitada BeanShell skripte. Need skriptid on lihtsustatud kujul Java, mis kasutab palju Java süntaksit, kuid on lihtsamas skriptimis formaadis.

Instaleerimine

Tarkvara on allalaetav lehelt: https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

Linuxis teha sedasi:

wget http://zaproxy.googlecode.com/files/ZAP_1.4.1_Linux.tar.gz -laen alla installika mkdir -p /opt/zap/ -teen alam kausta tar xvzf ZAP_1.4.1_Linux.tar.gz -C /opt/zap/ -pakin lahti cd /opt/zap/ -liigun kausta zap.sh -käivitan

Kokkuvõte

Kokkuvõtteks on hea testimis vahendiga, millega on võimaliks päris hea ülevaade saada nõrkustest veebi rakenduses. Muidugi peab osakama seda kasutada. Selleks tuleks uurida kasutaja manauali: http://code.google.com/p/zaproxy/wiki/HelpIntro

Koostas

Tauri Jaanus AK21 10.12.2012