Jest przeznaczony do użytku przez początkujących w bezpieczeństwie lub przez ekspertów posiadających rozległą wiedzę na temat bezpieczeństwa. Jest to bardzo ważne oprogramowanie dla programistów i administratorów serwerów, którzy chcą przeprowadzać funkcjonalne testy penetracyjne zabezpieczeń.
Niektóre firmy korzystające i współpracujące z ZAP to: OWASP, Mozilla, Google, Microsoft i inne.
Zap można pobrać z oficjalnej strony projektu OWASP Zed Attack Proxy Project, istnieją wersje na różne platformy natywne lub multiplatforma w Javie.
Po pobraniu rozpakowujemy plik i uruchamiamy go jak każde oprogramowanie Java, w tym przypadku używamy Linuksa.
Z dowolnego systemu operacyjnego możemy wykonać z bezpośredniego dostępu lub z terminala za pomocą polecenia
java -jar zap-2.4.2.jar
Dodajemy ip w adresie URL do pola tekstowego ataku, a następnie klikamy przycisk Atak. Po zeskanowaniu wszystkich znalezionych w sieci stron otrzymamy wynik.
X-Frame, czyli luka, która pozwala wyświetlić całą witrynę w iframe, a tym samym sprawić, że ktoś pomyśli, że przegląda witrynę, podczas gdy w rzeczywistości ma inną zawartą w iframe. Załóżmy, że tworzymy witrynę internetową, umieszczamy Facebooka w jednym iframe i formularz Paypal w drugim, symulując, że Facebook pobiera opłaty za rejestrację, więc w przypadku dowolnej witryny płatność w rzeczywistości trafiłaby do atakującego.
if (top! = self) {top.onbeforeunload = function () {}; top.location.replace (self.location.href); }Inną usterką znalezioną w tym IP jest to, że nie ma ochrony XSS, można to zaimplementować w zależności od używanego języka programowania.Unikać Ataki XSS łatwo jest użyć wielu bibliotek w dowolnej aplikacji internetowej.
Metoda obejmuje weryfikację danych wprowadzanych przez użytkowników lub z dowolnego zewnętrznego źródła danych lub dowolnego parametru, który został przesłany przez url.
Te troski są jedynymi, które musimy wziąć pod uwagę, aby zapobiec Ataki XSS i zwiększyć bezpieczeństwo zapobiegające atakom XSS, w tym celu musimy przeprowadzać walidację danych, kontrolować dane, które otrzymuje aplikacja i zapobiegać użyciu lub wykonaniu niebezpiecznego kodu podczas wprowadzania danych.
Przykładowa funkcja strip_tag () w php
Ta funkcja usuwa każdy znak html, który zawiera opis zmiennej $, z wyjątkiem tych, które autoryzuje, jak w tym przypadku
akapit i pogrubiona czcionka
,’); Narzędzie do wstrzykiwania SQL Samouczki dotyczące bezpieczeństwa komputerowego $ description = strip_tags ($ _ POST [opis], ’
Teraz, gdy dokonaliśmy pierwszej analizy, zaczniemy stosować różne narzędzia i wtyczki do Fuzzingu, nazywa się to Fuzzingiem, aby użyć różnych technik testowania, które wysyłają dane do aplikacji w sposób masowy i sekwencyjny, aby spróbować wykryć luki w sieci lub w analizowanym przez nas oprogramowaniu.
Na przykład bierzemy każdą stronę internetową, która jest potencjalnie podatna na tego typu zagrożenia
http://www.dominio/i… rdetalle & id = 105
W innym samouczku SQLMAP, narzędziu SQL Injection i Ethical database hacking wyjaśnił, że łatwym sposobem na znalezienie strony do analizy jest umieszczenie section.php?Id = w wyszukiwarce Google, a zobaczymy tysiące stron, które mogą być podatne na ataki . Tutaj masz to na wypadek, gdybyś był zainteresowany:
W tym miejscu możemy wybrać rodzaj ataku do wykonania, wybrać typ File fuzzer oraz wybrać Payload Injection, który obejmuje ataki xss, między innymi sql injection attack oraz sql injection, który obejmuje wszystkie ataki sql. Możemy dodać i przetestować wiele różnych rodzajów ataków z listy, którą oferuje nam Zap.
Inną analizą, którą możemy wykonać, jest wybranie ładunku serwera WWW, w tym przypadku zobaczymy, że mamy problem z sesjami i plikami cookie, ponieważ można je odczytać z przeglądarki, z której korzystamy.
POWIĘKSZAĆ
Np. zamierzamy dodać ładunek, prawym przyciskiem wybieramy domenę lub stronę główną i przechodzimy do Attack> Fuzz, następnie klikamy Add, następnie w ekranie Payload klikamy Add, wybieramy File Fuzzer type a w jbrofuzz wybraliśmy Zero Fuzzers.
Testy te nie są rozstrzygające, stanowią jedynie ostrzeżenie, abyśmy mogli pogłębić śledztwo. Te symulacje ataków i automatyczne skanowanie mogą zapewnić szybkie rozwiązanie do audytu witryn internetowych.
Ważne jest, aby narzędzia te były używane z ostrożnością i w celach etycznych, ponieważ są używane przez webmasterów i osoby zarządzające serwerami oraz złośliwych hakerów. OWASP ZAP jest narzędziem szeroko stosowanym przez tych, którzy zajmują się etycznym hakowaniem do pracy nad audytem bezpieczeństwa sieci i testowaniem aplikacji.
Więcej informacji na temat bezpieczeństwa IT z innymi technikami, atakami, hackowaniem itp. bądź na bieżąco i dziel się swoją wiedzą tutaj:
