OWASP ZAP で送信されるリクエストに自動で独自ヘッダを追加する方法
WebSecurity OWASP ZAP で送信されるリクエストに自動で独自ヘッダを追加する方法※当サイトにはプロモーションが含まれています。 プロキシ設定したブラウザを手動操作した時、各スキャンを実行した時、Fuzzerを実行した時などに送信されるHTTPリクエストに独自ヘッダを追加する方法をメモしておきます。スクリプトを使う方法(今回の例では JavaScriptを使います)なのですが、この方法を知っていると他にもいろいろ応用が効きます。 この記事は、OWASP ZAP User Group に投稿されていた以下の内容を基にしています。 Add a new property to the Http-header – OWASP ZAP User Group動作確認した環境 OWASP ZAP 2.3.1 手順[Scripts]タブをクリックします。スクリプトを新規作成します。Scri
GitLab 10.4リリース。WebIDE搭載開始、Dockerイメージの静的セキュリティ解析、アプリケーションの動的セキュリティテストなどの新機能
GitLab 10.4では、デプロイ前のDockerイメージに対して静的セキュリティ解析を行うツールや、動的にセキュリティ解析を行うツール、そしてWebブラウザから利用できる統合開発ツールなどが搭載された。 主な新機能として、アプリケーションをDockerコンテナとしてパッケージしたあとで静的セキュリティ解析を行う「Static Application Security Testing (SAST) for Docker Containers」、Webアプリケーションに対して動的なセキュリティテストが可能な「Dynamic Application Security Testing (DAST)」、そしてWebブラウザでコードを編集できるWebIDE機能などが搭載されました。 clairを用いてコンテナの静的解析 GitLabには、コードの静的解析を行う「Code Quality」機能がすで
脆弱性診断ツール「OWASP ZAP」の翻訳サイト「Crowdin.net」の使い方 - Qiita
無料で使えるWebアプリケーション脆弱性検査ツールに「OWASP ZAP」がありますが、 日本語化がまだまだ完全には出来ていないです。 日本語化するための手段として、翻訳サイト「Crowdin.net」が採用されています。 これはTwitterなどのアカウントを使用して、誰でもユーザ登録して参加することが出来ます。 この翻訳サイト「Crowdin.net」の使い方について書きたいと思います。 OWASP ZAPについて OWASP(Open Web Application Security Project)が提供している、WEBサイトの脆弱性を診断するためのぺネトレーションテストツールです。オープンソースで、無料で使用できます。 公式サイト https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project ダウンロード場所 htt
OWASP ZAPで開発中にセキュリティ診断！
ウェブアプリケーションのセキュリティ対策を考える上で、リリース直前ではなく、開発中の早期の段階からセキュリティ診断を行い、すぐに脆弱性を修正するというサイクルを繰り返すことが重要です。本記事では、その実践に役立つオープンソースのセキュリティ脆弱性検査ツール「OWASP Zed Attack Proxy（以下OWASP ZAP）」のインストール方法と、主要な機能を紹介します。 はじめに アジャイルやDevOpsといった開発・リリース手法が知られるようになってきました。ウェブアプリケーションのリリーススピードを高めるために役立つからでしょう。また、ビジネスにおいて後れを取らないようにする目的においても期待されているようです。 しかし、そのような中でも、情報処理推進機構（IPA）が公開した資料によると、ウェブアプリケーションに対する攻撃が近年増加の傾向をたどっています。現実の開発現場では、リリー
OWASP ZAP に追加された attack mode の概要
ZAPのtrunkリポジトリに「attack mode」 という新しいモードが追加されましたので、概要をメモしておきます。このまま問題がなければ、次のバージョンで組み込まれるでしょう。 attack mode の概要OWASP ZAP Developer Groups への psiinon(プロジェクトリーダー) さんの投稿によると、以下のような機能だそうです。 新たに追加されたWebページを検知するためのスレッドがバックグラウンドで動く。新しいWebページを検知した場合、それがスコープ内のWebページであればそのURLに対してアクティブスキャンを実行する。スコープ（のコンテキスト）を設定していなければ、何もしない。次のどちらもスキャンの対象となる。プロキシとしてZAPを設定したブラウザでアクセスしたWebページスパイダー検索でアクセスしたWebページアクティブスキャンの処理待ちキューに入
ウェブアプリケーションを開発しながら、手軽に脆弱性検査する方法
Software WebSecurity ウェブアプリケーションを開発しながら、手軽に脆弱性検査する方法※当サイトにはプロモーションが含まれています。 以前、OWASP ZAP に追加された attack mode の概要 というエントリを書きましたが、このATTACK modeを使った簡単なセキュリティ検査の手順をメモしておきます。この機能を使えば、ウェブアプリケーションの開発中にZAPが勝手に脆弱性スキャンしてくれます。 ※ この機能が追加される バージョン 2.4 はまだリリースされていないのですが、こちら から ZAP Weekly をダウンロードすれば試すことができます。 概要基本的には、ウェブアプリケーション開発時にウェブブラウザのプロキシとして ZAP を指定おくだけです。この時、ZAP 側で コンテキストというものを設定して、ATTACK mode にしておけば、アクセスし
OWASP ZAPの基本的な使い方（手動診断編）
WEB系の情報セキュリティ関連の学習メモです。メモなので他情報のポインタだけ、とかの卑怯な記事もあります。 ※2020.9 注記:本ブログの解説記事は内容が古くなっております。OWASP ZAPなどのソフトウェアの解説は現行バージョンの仕様から乖離している可能性があります。 12月から業務として脆弱性診断を毎日やっており、診断にはOWASP ZAPとFiddlerを利用しているのですが、ほぼ一月使ってみてZAPの使い方や便利さが分かってきたので、自分の把握したZAPの使い方をシェアすることにします。 はじめに・診断対象サイトについての注意OWASP ZAPでの診断は自分の管理下にあるサイトか、診断許可をもらっているサイトに対してのみ行ってください。（アクセス数によっては途中のインフラにも気をつける必要があります） 許可をもらっていないサーバへZAPの診断を走らせるのは、不正アクセスと解釈さ
OWASP ZAP でファジングする方法
オープンソースの脆弱性検査ツールであるOWASP Zed Attack Proxy(ZAP)でファジングする方法について説明します。 (バージョン：v2.2.2) ファジングとは？IPAが公開している「ファジング活用の手引」では以下のように説明されています。 「ファジング」とは、検査対象のソフトウェア製品に「ファズ(英名:fuzz)」と呼ばれる問題を引き起こしそうなデータを大量に送り込み、その応答や挙動を監視することで脆弱性を検出する検査手法です。 例えば、あるソフトウェア製品に極端に長い文字列や通常用いないような制御コードなどを送り込み、状態を観察します。その結果、予期せぬ異常動作や異常終了、再起動などが発生した場 合、このソフトウェア製品の処理に何らかの問題がある可能性が高いと判断できます。このように、ソフトウェア製品(の開発者)が想定していないデー
OWASP Zed Attack Proxy (ZAP)とは？
オープンソースの脆弱性検査ツールであるOWASP Zed Attack Proxy(ZAP)について説明します。 概要OWASP Zed Attack Proxy (ZAP)の公式サイトによると以下のように説明されています(翻訳してみました)。 The Zed Attack Proxy (ZAP)は、Webアプリケーションの脆弱性を見付けるための簡単に使える統合ペネトレーションテストツールです。幅広いセキュリティの経験を持った人々に使って貰えるようにデザインされており、またペネトレーションテストをしたことがない開発者や機能テスターにとっても理想的なものになっています。 ZAPは手動で脆弱性を見付けることができるツール群はもちろんのこと、自動スキャナーも提供します。 OWASP Zed Attack Proxy Project 基本的な情報OWASP のプロジェクトの1つで、2010年9月
OWASP ZAP スキャンポリシーの検査項目一覧(Release版)
Software WebSecurity OWASP ZAP スキャンポリシーの検査項目一覧(Release版)※当サイトにはプロモーションが含まれています。 スキャンポリシーで選択できる各検査項目(Release品質の項目のみ)の一覧と、やっている検査処理の簡単な説明です。 脆弱性を自動診断して何らかの脆弱性が報告された場合、本当にその脆弱性が存在するのか調査すると思いますが、どういう診断処理が行われたのかが分かっていないと、非効率な調査しかできません。ですので、OWASP ZAPの自動検査で発見された脆弱性を調べる時に、この一覧を役立てて頂ければ嬉しいです。 ※ 脆弱性自体の説明があまりされていなかったり、各CWE情報へのリンクが貼っていなかったりして少し不親切な状態ですが、今後少しずつ追加していければなと思っています。 Passive Script passive scan rule
OWASP ZAP ハンズオンセミナー 「セキュリティ診断（自分でしたら）いかんのか？（OWASP ZAPなら）ええんやで(^ ^)」第一回～第三回の内容まとめ・前編
OWASP ZAP ハンズオンセミナー 「セキュリティ診断（自分でしたら）いかんのか？（OWASP ZAPなら）ええんやで(^ ^)」第一回～第三回の内容まとめ・前編 8月から毎月一度開催されている「セキュリティ診断（自分でしたら）いかんのか？（OWASP ZAPなら）ええんやで(^ ^)」という、OWASP ZAPハンズオンセミナーに第一回から第三回まで参加し、講師の方に全体的な内容のまとめ＆ブログ掲載の許可をいただいたので、これまで私がセミナーで学んだ内容を全部まとめてみます。 時系列に沿ったまとめではなく、セミナーの内容を頭から自習できるような一本の記事に再構成しました。 ブログ記事へのまとめ・編集による間違いやミスの混入の責任は私にあります。 また、一部、セミナーの時にとったメモを見ながら不明点を手元で確かめて書いている箇所があります。 リンク セミナーの案内ページ（セキュリティ診
OWASP ZAP | OWASP Foundation
The OWASP® Foundation works to improve the security of software through its community-led open source software projects, hundreds of chapters worldwide, tens of thousands of members, and by hosting local and global conferences. Project Information Flagship Project Classification Tool Audience Breaker Builder Downloads Download OWASP ZAP! Questionnaire Please help us to make ZAP even better for you
Selenium と OWASP ZAP を使った自動脆弱性検査への道標
Webアプリケーションをローカル環境で開発している場合に、Selenium と OWASP ZAP を使って自動的に脆弱性検査を実行するための設定・実行手順について説明します。使用するプログラミング言語には依存しない範囲で書くので、具体的な記述方法までは踏み込みません。 前置き大まかに言うと、開発中のWebアプリケーションに対してまず Selenium を使ったテストを実行し(この時、ブラウザのプロキシ設定をZAPにしておきます)、その後で OWASP ZAP による脆弱性検査を行います。自動といっても、今回はローカルのPC上でブラウザやZAPがGUI起動することを前提としています。GUIのない環境でブラウザを実行できるツールもありますし(XVFB, PhantomJS, etc.)、ZAPもデーモンモードで起動できますので、CUI環境(サーバ上等)でも今回のテストは可能なはずです。しかし
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OWASP ZAP Hands-on In Osaka (2015-02-10)
Amazon.co.jp: Webセキュリティ担当者のための脆弱性診断スタートガイド: 上野宣が教える情報漏えいを防ぐ技術: 上野宣: 本