私は如何にして心配するのを止めてOWASP ZAPハンズオンセミナーを愛するようになったか
はじめまして。HASHコンサルティングでエンジニアをしている松本隆則と申します。 弊社一ノ瀬に続き、私もHASHコンサルティング株式会社公式ブログを更新していくことになりましたので、よろしくお願いいたします。 というわけで、従業員の投稿第2弾はHASHコンサルティングの新サービスの話です。 新サービスについて HASHコンサルティング株式会社は、2016年8月24日に「脆弱性検査ハンズオンセミナー with OWASP ZAP」というサービスの開始を発表いたしました。 本サービスは、OWASP ZAPというオープンソースのツールによる脆弱性検査の手法を、ハンズオン形式で解説するセミナーです。 ご参加者のニーズに合わせて、二つのコースをご用意しております。 ウェブ健康診断 with OWASP ZAP OWASP ZAP Maniacs 「ウェブ健康診断 with OWASP ZAP」コース
OWASP ZAP―Basic認証突破など、使い方をUP
Webアプリケーションの脆弱性診断ツールのOWASP ZAPについての情報を掲載しています。Basic認証突破など使い方をまとめています。 ▲記事トップへ 目次 記事の目次です。 1. OWASP ZAPとは？ 2. OWASP ZAPの使い方（ガイダンス編） 2.0. OWASP ZAPのダウンロードとインストール 2.1. OWASP ZAPの診断項目 2.2. 動的スキャンと静的スキャン機能 3. OWASP ZAPの使い方（気になる操作編） 3.1. BASIC認証を突破する方法 3.2. SOCKSを使用して踏み台サーバ経由でZAPからのクエリを送信する方法 4. OWASP ZAPのソース取得 更新履歴 1. OWASP ZAPとは？ OWASPが提供している、Webサイトの脆弱性を診断するためのぺネトレーションテストツールです。 オープンソースで、無料で使用できます。 OWA
脆弱性テスト・学習用Webアプリケーションのメモ - ももいろテクノロジー
脆弱性スキャンツールのテストあるいは脆弱性内容の学習を目的として、意図的に脆弱性が作り込まれたWebアプリケーションをいろいろ調べた結果のメモ。 Badstore Badstore: 1.2.3 ~ VulnHub Last update: 2004-02-24 (1.2.3) この手のアプリケーションの元祖であり、現在はメンテナンスされていない。 ショッピングカートを模したつくりになっている。 また、ISOイメージとして配布されている。 BodgeIt Store (The image is taken from The BodgeIt Store Part 1 - InfoSec Resources) bodgeit - The BodgeIt Store is a vulnerable web application suitable for pen testing - Google
Open Web Application Security Project: OWASP ZAP 2.4.0
Open Web Application Security Project The Open Web Application Security Project (OWASP) is a 501c3 not-for-profit worldwide charitable organization focused on improving the security of application software. Our mission is to make application security visible, so that people and organizations can make informed decisions about true application security risks. Everyone is free to participate in OWASP
プラグイン作者必読！実例に学ぶ脆弱なWordPressプラグインの作り方、又はwp-adminを守る理由 | ゆっくりと…
セキュリティ・コンサルティング Sucuri の 2014年11月の記事 によると、WordPress プラグインの3大脆弱性は、SQL インジェクション（SQLi）、クロス・サイト・スクリプティング（XSS）、ファイル・インクルージョン（FI）とのことです。 冒頭のグラフ は最新の分析結果で、この事実を裏付けています。プラグイン開発の チュートリアル や 手引き には、脆弱性を作り込まないためのポイントが上手にまとめられているのに、なぜ無くならないのでしょうか？ 「ヒトが作るものだから、バグがあって当然」と言ってしまえばそれまでですが、 Sucuri のブログ を読み漁っていると、こと脆弱性に関する限り、 WordPress に特有の「思い込み」や「見過ごし」といった、ヒトの心理的・認知的な盲点が原因の多くを占めているんじゃないかと思えてきます。 だから単に PHP のセキュリティ Ho
OWASP ZAP で特定のパラメータだけ検査する方法
以下の内容をメモ Testing only specefied parameter. – Google Groups もう少し正確に言うと、リクエストヘッダ・ボディ内に存在している特定の文字列を指定してアクティブスキャンする方法です。各テストでは、指定した文字列の部分に攻撃ベクタがセットされてHTTPリクエストが送信されます。 手順[Sites]タブ / [History] タブ 上で目的のリクエストを右クリックし、[Attack] -> [Active Scan advanced…] を選択する。[Scope]タブページで、[Recurse] のチェックを外す。[Custom Vectors]タブページで、攻撃したい部分を選択状態にして、[Add]ボタン([追加]ボタン)をクリックする。下にある [Disable non custom input vectors] にチェックを入れる。テ
参加メモ - セキュリティ診断(自分でしたら)いかんのか？(OWASP ZAPなら)ええんやで(^^)(第5回、第6回) - nknskn ネタ置き場
「セキュリティ診断 (自分でしたら)いかんのか？ (OWASP ZAPなら)ええんやで(^^)」の第5回 (2014年11月30日(日)、http://security-testing.doorkeeper.jp/events/16925)、第6回(2014年12月16日(火)、http://security-testing.doorkeeper.jp/events/17727) に参加させていただきました。 このエントリは第1回～第4回は他の方がブログにまとめてくださっているもの(最下部に記載)に含まれている内容です。 私自身の備忘録として記載しています。詳細については最下部のブログを確認していただけると幸せになれるかもしれません。 間違っている点、抜けているように感じた点、補足があればコメントをいただけると幸いです。 講師は @DYOH2017さんです。 概要 第5回は設定・簡単な機能
OWASP ZAP ハンズオンセミナー 「セキュリティ診断（自分でしたら）いかんのか？（OWASP ZAPなら）ええんやで(^ ^)」第一回～第三回の内容まとめ・後編
OWASP ZAP ハンズオンセミナー 「セキュリティ診断（自分でしたら）いかんのか？（OWASP ZAPなら）ええんやで(^ ^)」第一回～第三回の内容まとめ・後編 2）実際の検査におけるZAPの設定と手順 前編の1)で「Standerd Mode」の状態で「クイックスタート」による検査を行ったが、これはあくまでもZAPの動作を確認するための手順で、実際の検査ではもう少し細かい指定をして検査を行う。 以下に実際の検査時の手順を説明する。 ・ブラウザのプロキシを設定し、ブラウザで検査対象のページにアクセスする 前編の事前準備のところで解説した手順で、ZAPのプロキシ設定の調整（調整不要ならデフォルトで）と、ブラウザへのプロキシ設定を行う。 その状態で、検査対象とするサイトにアクセスすると、ZAP画面下部の「履歴」タブや左の「サイト」のところにアクセスしたサイトやURLが表示される。 ・モー
OWASP ZAP ハンズオンセミナー 「セキュリティ診断（自分でしたら）いかんのか？（OWASP ZAPなら）ええんやで(^ ^)」第一回～第三回の内容まとめ・前編
OWASP ZAP ハンズオンセミナー 「セキュリティ診断（自分でしたら）いかんのか？（OWASP ZAPなら）ええんやで(^ ^)」第一回～第三回の内容まとめ・前編 8月から毎月一度開催されている「セキュリティ診断（自分でしたら）いかんのか？（OWASP ZAPなら）ええんやで(^ ^)」という、OWASP ZAPハンズオンセミナーに第一回から第三回まで参加し、講師の方に全体的な内容のまとめ＆ブログ掲載の許可をいただいたので、これまで私がセミナーで学んだ内容を全部まとめてみます。 時系列に沿ったまとめではなく、セミナーの内容を頭から自習できるような一本の記事に再構成しました。 ブログ記事へのまとめ・編集による間違いやミスの混入の責任は私にあります。 また、一部、セミナーの時にとったメモを見ながら不明点を手元で確かめて書いている箇所があります。 リンク セミナーの案内ページ（セキュリティ診
脆弱性診断ツール「OWASP ZAP」の翻訳サイト「Crowdin.net」の使い方 - Qiita
無料で使えるWebアプリケーション脆弱性検査ツールに「OWASP ZAP」がありますが、 日本語化がまだまだ完全には出来ていないです。 日本語化するための手段として、翻訳サイト「Crowdin.net」が採用されています。 これはTwitterなどのアカウントを使用して、誰でもユーザ登録して参加することが出来ます。 この翻訳サイト「Crowdin.net」の使い方について書きたいと思います。 OWASP ZAPについて OWASP(Open Web Application Security Project)が提供している、WEBサイトの脆弱性を診断するためのぺネトレーションテストツールです。オープンソースで、無料で使用できます。 公式サイト https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project ダウンロード場所 htt
No reaction to “Active Scan *” menu item (OWASP ZAP)
WebSecurity No reaction to “Active Scan *” menu item (OWASP ZAP)※当サイトにはプロモーションが含まれています。 Infrequently I run into the situation where ZAP has no reaction when I right click a node on [Sites] tab and click one of the “Active Scan *” menu items. I’m just gonna write about this topic on my blog for now because of its poor-reproducibility. Yesterday I was able to look into this issue a little when I deb
Selenium と OWASP ZAP を使った自動脆弱性検査への道標
Webアプリケーションをローカル環境で開発している場合に、Selenium と OWASP ZAP を使って自動的に脆弱性検査を実行するための設定・実行手順について説明します。使用するプログラミング言語には依存しない範囲で書くので、具体的な記述方法までは踏み込みません。 前置き大まかに言うと、開発中のWebアプリケーションに対してまず Selenium を使ったテストを実行し(この時、ブラウザのプロキシ設定をZAPにしておきます)、その後で OWASP ZAP による脆弱性検査を行います。自動といっても、今回はローカルのPC上でブラウザやZAPがGUI起動することを前提としています。GUIのない環境でブラウザを実行できるツールもありますし(XVFB, PhantomJS, etc.)、ZAPもデーモンモードで起動できますので、CUI環境(サーバ上等)でも今回のテストは可能なはずです。しかし
OWASP BWA に bWAPP を導入する
はじめにbWAPP は、いわゆる「やられWebアプリケーション」の1つです。以前から何度か紹介しているOWASP BWAにはデフォルトで入っていないのですが、ソースコードの変更を見ると、導入しようとしている様子が見られます。何か簡単な導入方法があるのかもしれませんが、よく分かりません;) (知っていたら教えて下さい)。変更されているスクリプトには bWAPPをセットアップする処理が書いてあるものもありますので、BWAを起動した後で、手動でこれらのファイルを持ってきて使うのもありなのだと思います。しかし今回は、地道な導入手順を説明します。 画面はこんな感じです。 デザインは公式サイトとあまり変わりません。 導入手順1. BWAにrootでログインする。仮想化アプリケーションのウィンドウ上で操作するか、別途ターミナルアプリケーションでssh接続します。 # ssh接続の場合 $ ssh roo
OWASP Dependency-Check | OWASP Foundation
This website uses cookies to analyze our traffic and only share that information with our analytics partners. Accept Dependency-Check is a Software Composition Analysis (SCA) tool that attempts to detect publicly disclosed vulnerabilities contained within a project’s dependencies. It does this by determining if there is a Common Platform Enumeration (CPE) identifier for a given dependency. If foun
OWASP ZAP 2.3.0.1 でリクエストタブの表示フォーマットが変更できない場合の対処法
Software WebSecurity OWASP ZAP 2.3.0.1 でリクエストタブの表示フォーマットが変更できない場合の対処法※当サイトにはプロモーションが含まれています。 現在ダウンロードできるOWASP ZAP 2.3.0.1では、[リクエスト]タブ内のHeaderとBodyの表示フォーマットを選択するプルダウンがグレーになったままで切り替えることができないバグがあります(発生しない環境・条件があるかもしれませんが)。本来であればリクエストデータ内のHeader/Bodyの表示形式は “デフォルトビュー”・”16進ビュー”・”タブビュー”等から選べるのですが、”デフォルトビュー”表示のままになります。開発中のソースコードでは既に修正されていますので、次回のバージョン更新時には直っていると思いますが、現時点での対処法を書いておきます。 といっても手順は簡単で、[サイト]タブ内
同梱のJDKを使わずにMac版OWASP ZAP2.3を使う方法
Software WebSecurity 同梱のJDKを使わずにMac版OWASP ZAP2.3を使う方法※当サイトにはプロモーションが含まれています。 OWASP ZAPのMac版はJDKが同梱されているためサイズが非常に大きくなっています。なぜ、Mac版だけこういうことになっているかについては、Issue 788 – zaproxy – Update Java for Mac releaseにいろいろ書いてあります。主な理由は、 Windowsのインストーラは、Javaが入っていない場合は警告してくれ、JavaのWebサイトにリダイレクトしてくれる。Linuxの場合もコマンド実行した時に、Javaが見付からなければ教えてくれる。Macの場合、ただアイコンが跳ねるだけで何も警告してくれない。また、Macにデフォルトで入っているのは Java 6(ZAPは Java 7が必要)。といったあ
OWASP ZAPの「Cross Site Scripting (Persistent)」(持続型クロスサイト・スクリプティング)診断は何をしているのか？
Software WebSecurity OWASP ZAPの「Cross Site Scripting (Persistent)」(持続型クロスサイト・スクリプティング)診断は何をしているのか？※当サイトにはプロモーションが含まれています。 OWASP ZAP の Active Scanで実行される脆弱性診断に「Cross Site Scripting (Persistent)」という項目(別名 Stored XSS)があります。日本語だと持続型(格納型)クロスサイト・スクリプティングです。この項目はバージョン 2.2ではbeta扱いだったのですが、バージョン2.3から正式版扱いになりました。ここではこの診断が何をしているのか説明します。 ※ 脆弱性を自動診断して何らかの脆弱性が報告された場合、本当にその脆弱性が存在するのか調査すると思いますが、どういう診断処理が行われたのかが分かってい
OWASP ZAPをデバッグする方法
前回に引き続き OWASP ZAPです。OWASP ZAPはオープンソースであるため、動作におかしいところがあったり、内部でどんな処理をしているのか知りたい時にはソースレベルで調査することができます。その場合、単純にソースコードを眺めてもいいのですが、IDEを使ってデバッグできると心強いでしょう。そのために今回はOWASP ZAPをEclipseでデバッグする手順を説明します。 基本的には以下のリンク先のPDFに手順が書いてありますが、本記事では新しいバージョンに関する情報と手順も一部追加してあります。 Building OWASP ZAP Using Eclipse IDE for Java… Pen-Testers (v3.0) 環境Mac OS X 10.9.1JDK 1.7.0_51 64bitSubversion 1.8Eclipse 4.3.1Sublipse 1.10.x手順
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
ZAP 2.5.0
Maintenance ....