快乐十分开奖号码搜索|taiyuan快乐十分

安全性测试:OWASP ZAP 2.8 使用指南(二):ZAP基础操作

ZAP桌面应用

ZAP桌面应用的UI由以下元素组成:

1. 菜单栏  – 提供多种自动化和手动工具的访问

2. 工具栏  – 提供快速访问最常用组件的用户接口

3. 树结构窗口  – 展示被测网站树结构和脚本树

4. 工作站窗口  – 展示请求,反馈以及脚本,并?#20197;?#35768;编辑他们

5. 信息窗口 – 展示工具执行的详细结果

6. 页脚 – 展示主要自动工具的执行状态以及警告的汇总

 

 

在使用ZAP时,你可以点击菜单栏中的帮助或者按F1来查看ZAP桌面应用的用户指引。

更多信息请查看ZAP在线帮助文档。

ZAP也支持API和命令?#24615;?#34892;的功能,不过本文?#24615;?#19981;讨论。
 

重要:

只可以在当你有权使用主动攻击的方式测试某一应用时才可以使用ZAP。

因为ZAP的运作方式会让应用如同遭受真实攻击,应用的功能和数据都有可能因此受损。

如果你担心使用ZAP会给被测应用带来风险,你可以切换到安全模式(ZAP的可用功能会大大减少)。

要切换成安全模式,点击主菜单栏的“模式”下拉菜单选择安全模式。

 

运行自动扫描

最简单使用ZAP的方式就是通过快速开始菜单。

快速开始是在你安装ZAP时默认添加的一个附加组件。

要执行一次快速开始的自动扫描:

1. 启动ZAP并?#20197;?#24037;作站窗口中点击快速开始。

2. 点击自动扫描按钮。

3. 在URL栏中,填入将被扫描的Web应用的URL。

4. 点击“攻击”按钮。

 ZAP会进一步使用爬虫技术爬取Web应用,并且被动扫描爬到的每一个页面。

然后ZAP会使用主动扫描器去攻击所有发现的页面、功能和?#38382;?/p>

ZAP提供了两种用来爬取Web应用的爬虫,用户可以选择使用。

传统的ZAP爬虫会通过Web应用反馈的HTML查找链接。

这种爬虫速度快,但是对于使用AJAX技术通过JavaScript来生成链接的应用而言,显得不那么?#34892;А?/p>

对于AJAX应用,ZAP的AJAX爬虫会更加?#34892;А?#36825;种爬虫会通过唤起浏览器进程来探索Web应用,并且会追踪动态生成的链接。

AJAX爬虫比传统爬虫速度要慢,并?#20197;?#26080;界面模式下要求进一?#33050;?#32622;才能使用。

 

ZAP会被动扫描所有以代理?#38382;?#25509;收到的请求和反馈。

到这一步为止,ZAP还只做了被动扫描。被动扫描不会以任何?#38382;?#25913;动任何反馈信息,所以相?#20801;?#23433;全的。

这种扫描是在后台线程中执行的,并不会减缓扫描速?#21462;?/p>

被动扫描有助于发现部分问题,并且提供一些基础的Web安全性信息,帮助进一步确定测试方向。

 

主动扫描,则会通过一些预设的攻击来达到发?#25351;?#22810;漏洞的目的。

对于被测目标而言,主动扫描会发起真实的、可能造成损失的攻击。

所以不要?#38405;?#27809;有测试权限的目标进行主动扫描。

 

解读测试结果

当ZAP爬取你的Web应用时,他会创建这个应用的页面结构图,以及加载这些页面用到的?#35797;?#25991;件。

然后他会记录每个页面的请求和反馈,并且就这些请求和反馈中可能的安全性问题发出警告。

在ZAP的站点视图里,我们可以以树结构查看扫描到的所有URL。

 

查看警告和警告详情。

页脚的左手边列出了在测试过程中发现的警告数目,以不同的风险级别归类。

这些风险类型是:

 

要查看测试中的警告信息:

1. 在信息窗口中点击警告标签

2. 点击单个警告,将在?#20063;?#20449;息窗口展示被测URL以及所发现的漏洞

3. 在工作台窗口,可以查看请求反馈的头部和反馈体,?#26032;?#27934;的部分将被高亮显示。

 

手动扫描应用

被动扫描和自动攻击功能对于开始检查你的Web应用漏洞时一个很好的方法,但?#19988;?#26377;很多局限。

比如:

  •  任何需要用户鉴权的页面都无法被被动扫描,除非你配置了ZAP的鉴权功能,否则ZAP不会处理所需的权限授权。

  •  对于被动扫描和自动攻击所执行的攻击类型而言,测试人员并无太多控制能力。事实上ZAP还提供了多种扫描和攻击能力。

爬虫可以很好的基本探索一个站点,但是只有结合手动探索才能更高效。

举个例子来?#25285;?#29228;虫在遇到表单时,只会填入基本的默认信息。但是用户可以填写更相关的信息,这样又可以为ZAP提供更多该站点的信息。

对于需要真实邮件地址来完成注册的页面以及类似的页面尤其如此。

爬虫可能会填入随机?#25191;?#28982;后得到报错。

用户则可以根据报错提供合法输入,这样当表单正确提交后,又有更多站点的内容可以被访问并被爬取到。

 

你应该在ZAP代理下访问你的整个Web应用。

这样做的?#20040;?#26159;,当你手动访问站点时,ZAP会被动扫描访问过程中触发的请求和反馈,并检查其中的漏洞,进一步完成站点树结构,记录扫描到的所?#26032;?#27934;警告。

让ZAP访问到你的Web应用的所有页面是很重要的,以求探明所有页面之间的链接。

如果存在隐藏的页面,这是不安全的,因为这些页面可能在没有被注意的情况下就被发布上线。

所以在手动访问站点时,尽可能做到全面。

通过快速开始菜单,你可以快速的启动ZAP代理的浏览器。

通过这种方式打开的浏览器也会无视任何证书警告。

 

 

 

手动访问站点:

1. 启动ZAP,点击工作台窗口中的快速开?#21450;?#38062;

2. 点击手动访问

3. 在URL框体内填入要访问的URL

4. 选择要使用的浏览器

5. 点击启动浏览器按钮

 

这样可以以全新的用户配置(profile)启动你安装的浏览器。

如果你想带上已有的用户配置,比如说已安装的浏览器插件等,那么你只能手动启动浏览器,并且配置其以ZAP为代理,导入和信任ZAP Root CA证书。

 
 
posted @ 2019-09-19 11:27 大宇yu 阅读(...) 评论(...) 编辑 收藏
快乐十分开奖号码搜索