OWASP Foundation, the Open Source Foundation for Application Security | OWASP Foundation
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept Who is the OWASP® Foundation? The Open Worldwide Application Security Project® (OWASP) is a nonprofit foundation that works to improve the security of software. Through community-led open-source software projects, hundreds of local chapters worldwide, tens of thousands of members, a
OWASP ZAPのコンテキスト、スコープ、URL正規表現について
Software WebSecurity OWASP ZAPのコンテキスト、スコープ、URL正規表現について※当サイトにはプロモーションが含まれています。 OWASP ZAPで行ういくつかの操作では、操作対象とするURLを限定することができます。例えば、履歴タブでは全てのアクセスデータが一覧表示されますが、予め登録したURLに合致したデータだけに表示を絞ることができます。これは脆弱性検査対象となるデータのみを表示する場合に便利です。 今回はこの機能を理解するために必要な「コンテキスト」「スコープ」について説明します。また、このコンテキストに対してURLを登録するのですが、このURLを指定するのに使用できる正規表現には独特のエスケープシーケンスがありますので、これも最後に説明します。 本記事の対象としているOWASP ZAPのバージョンは 2.2.2 です。 コンテキスト(Contexts)
OWASP Zed Attack Proxy (ZAP)で脆弱性検査する方法
OWASP Zed Attack Proxy (ZAP)の使い方の例をいくつかメモします。各操作の細かい説明は別の記事で書くかもしれません。 ※ 本記事で使用するOWASP ZAPのバージョンは、2.2.2です。 使い方１：ローカル・プロキシとしてブラウザの通信内容をチェックするOWASP ZAPをローカルのプロキシとして使用し、ブラウザの通信をOWASP ZAP経由で行います。その後、記録された通信内容を確認する、といった使い方です。 OWASP ZAPを起動します。ブラウザを起動します。ブラウザのプロキシ設定で、OWASP ZAPの動作するホストとポート番号をセットします。ブラウザ上で診断の対象となるWebサイトにアクセスします。目的のページで目的の動作を行います。OWASP ZAPの[サイト]タブで、目的のリクエスト(URL)をクリックし、[リクエスト]タブや[レスポンス]タブで通信
OWASP ZAPを使って脆弱性の確認（動的スキャン）をする - Qiita
概要 OWASP ZAPの動的スキャン機能を使うと、手軽に脆弱性の確認を行うことができます。 注意点として、スキャンの対象は自分が管理しているサイトか診断の許可を得ているサイトのみに行ってください。 また、スキャンの影響で本番環境にトラブルがおきる可能性があるので、本番環境ではなくステージング環境などの準備を行い、そちらに対してスキャンをすることをおすすめいたします！ 説明 この記事は下記の内容で進めていきます。 OWASP ZAPのインストール スパイダー機能を使って対象のURLを取得 動的スキャンを実施 結果の確認 実施手順を以下に書いていきます。 環境 macOS Sierra 10.12.5 OWASP ZAP 2.6.0 WordPress 4.8.1 OWASP ZAPのインストール 下記からOWASP ZAPをダウンロードすることができます。 https://github.c
OWASP ZAP 2.3 自動認証機能の設定
OWASP ZAP v2.3における自動認証設定の手順を説明します。 自動認証(ログイン)機能とは、 認証機能を持つWebアプリケーションのログインが必要なページにアクセスした時に、ログインしていないことを検知し、ログインしていなければ、内部でログインアクセスしてログイン状態にしてくれ、その状態で本来アクセスしようとしていたURLに改めてアクセスしてくれるという機能です。 参照：OWASP Zed Attack Proxy (ZAP)とは？これにより、スパイダー検索等を行う時に、ログアウトURLにアクセスしてログアウトしてしまった後でも自動で認証(ログイン)して処理を続行できるようになります。 今回の設定で使うWebアプリケーションOWASP BWA上の BodgeIt に対して脆弱性検査を行うことを想定します。参照：OWASP BWA (The Broken Web Applicatio
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Scripting Authenticated Login Within ZAP Vulnerability Scanner - DZone