Upgrade to Pro — share decks privately, control downloads, hide ads and more …

OWASP ZAPのススメ

OWASP ZAPのススメ

2014/03/28 #ssmjp にてプレゼンテーションをした際の日本語資料です。

Yuho Kameda

March 28, 2014
Tweet

More Decks by Yuho Kameda

Other Decks in Technology

Transcript

  1. Profile 亀田 勇歩 (Yuho Kameda) – Twitter : @YuhoKameda 活動

    – ZAP Evangelist – ZAPハンズオントレーニング in AppSec APAC – 『OWASP Zed Attack Proxy 運用マニュアル』執筆 協力
  2. 強制ブラウズ • ディレクトリ調査 • カスタマイズも可能 • directory-list-1.0.txt 141,694件 収録 •

    directory-list-2.3-big.txt 1,273,819件 収録 • directory-list-2.3-medium.txt 220,546件 収録 • directory-list-2.3-small.txt 87,650件 収録 • directory-***2.3-big.txt 1,185,240件 収録 • directory-***2.3-medium.txt 207,619件 収録 • directory-***2.3-small.txt 81,643件 収録
  3. ZAP Script • 様々な状況下でスクリプトを実行 – Passive Rules • パッシブスキャン実行時に実行 –

    Active Rules • 動的スキャン実行時に実行 – プロキシ • ZAPをプロキシとして使用する時 に実行 – Stand Alone • 手動で実行 – Targeted • 指定したURLに対して実行
  4. スクリプトの作成 2. スクリプトの作成 i. 「Scripts」タブを選択 ii. 「New Script」を選択、もしくは「Templates」内のスクリプト を右クリックし「New Script」を選択

    iii. 入力欄を選択し、「保存」を押下しスクリプトを作成 iv. 「Script Console」の結果出力部分に結果が表示される スクリプト実行方法 Passive Rules/Active Rules/プロキシ 「Enable Script」を選択し有効にする Stand Alone 「Script Console」タブにある「Run」を押下し実行する Targeted 「履歴」内か「サイト」タブ内のURLを右クリックし、 「Invoke with script」を選択し実行する
  5. Google Group • OWASP ZAP Developer Group – メンバー数:314人 –

    開始日:2010/08/17 – 主な内容 • ZAP開発に関すること • Extensionの開発 • バグ修正 • OWASP ZAP User Group – メンバー数:214人 – 開始日:2012/05/22 – 主な内容 • 使い方の質問 • 実装してほしいリクエスト
  6. Google Group (NEW!) • OWASP ZAP Scripts – メンバー数:11人 –

    開始日:2014/03/26 – 主な内容 • ZAPスクリプトを共有するためのグループ
  7. Any Question? • Social Account – Twitter : @YuhoKameda •

    E-mail – [email protected] • OWASP – [email protected] – https://www.owasp.org/index.php/User:Yuho_Kameda