Il est conçu pour être utilisé par des débutants en sécurité ou par des experts ayant une connaissance approfondie de la sécurité. C'est un logiciel très important pour les développeurs et les administrateurs de serveurs qui souhaitent effectuer des tests de pénétration de la sécurité fonctionnelle.
Certaines entreprises qui utilisent et collaborent avec ZAP sont : OWASP, Mozilla, Google, Microsoft et autres.
Zap peut être téléchargé à partir de la page officielle du projet OWASP Zed Attack Proxy, il existe des versions pour diverses plateformes natives ou une multiplateforme en Java.
Une fois téléchargé, nous décompressons le fichier et l'exécutons comme n'importe quel logiciel Java, dans ce cas nous utilisons Linux.
Depuis n'importe quel système d'exploitation, nous pouvons exécuter depuis un accès direct ou depuis un terminal avec la commande
java -jar zap-2.4.2.jar
Nous ajoutons l'adresse IP dans la zone de texte URL à attaquer, puis cliquez sur le bouton Attaque. Après avoir scanné toutes les pages trouvées sur le web, nous obtiendrons le résultat.
X-Frame, qui est une vulnérabilité qui permet d'afficher un site Web complet dans un iframe et ainsi de faire croire à quelqu'un qu'il navigue sur un site Web alors qu'il en a en fait un autre inclus dans l'iframe. Supposons que nous créions un site Web, nous incluions Facebook dans un iframe et un formulaire Paypal dans un autre, simulant que Facebook facture l'enregistrement, donc avec n'importe quel site Web, le paiement irait en fait à l'attaquant.
if (top! = self) {top.onbeforeunload = function () {}; top.location.replace (self.location.href); }Une autre vulnérabilité trouvée dans cette IP est qu'elle n'a pas de protection XSS, cela peut être implémenté en fonction du langage de programmation que nous utilisons.Éviter Attaques XSS c'est facile, il existe de nombreuses bibliothèques à utiliser dans n'importe quelle application Web.
La méthode consiste à vérifier les données saisies par les utilisateurs ou à partir de toute source de données externe ou de tout paramètre envoyé par URL.
Ces soins sont les seuls dont nous devons tenir compte pour éviter Attaques XSS et augmenter la sécurité qui empêche les attaques XSS, pour cela, nous devons effectuer une validation des données, contrôler les données que l'application reçoit et empêcher l'utilisation ou l'exécution de code dangereux lors de la saisie des données.
Exemple de fonction strip_tag() en php
Cette fonction supprime tout caractère html qui contient la variable $ description, sauf ceux qu'elle autorise, comme dans ce cas
paragraphe et caractère gras
,’); Outil d'injection SQL Tutoriels de sécurité informatique $ description = strip_tags ($ _ POST [description], ’
Maintenant que nous avons réalisé la première analyse, nous allons commencer à appliquer différents outils et plugins pour faire du Fuzzing, cela s'appelle Fuzzing à l'utilisation de diverses techniques de test qui envoient des données à l'application de manière massive et séquentielle, pour essayer de détecter vulnérabilités sur le Web ou dans les logiciels que nous analysons.
Par exemple, nous prenons tout site Web potentiellement vulnérable du type
http: //www.dominio/i… rdetalle & id = 105
Dans un autre tutoriel SQLMAP, outil d'injection SQL et piratage de base de données éthique, il a expliqué qu'un moyen simple de trouver un site Web à analyser est de mettre section.php?Id = dans le moteur de recherche Google et nous verrons des milliers de sites Web qui pourraient être vulnérables. . Vous l'avez ici au cas où vous seriez intéressé :
Ici, nous pouvons sélectionner le type d'attaque à effectuer, sélectionner le type File fuzzer et choisir l'injection de charge utile qui couvre les attaques xss, l'attaque par injection sql entre autres et l'injection sql qui couvre toutes les attaques sql. Nous pouvons ajouter et tester de nombreux types d'attaques différents à partir de la liste que nous propose Zap.
Une autre analyse que nous pouvons effectuer consiste à sélectionner la charge utile du serveur Web. Dans ce cas, nous verrons que nous avons un problème avec les sessions et les cookies car ils peuvent être lus à partir du navigateur que nous utilisons.
AGRANDIR
Par exemple, nous allons ajouter une charge utile, nous sélectionnons le domaine ou la page principale avec le bouton droit et nous allons dans Attaque> Fuzz, puis nous cliquons sur Ajouter, puis dans l'écran de la charge utile, nous cliquons sur Ajouter, nous sélectionnons le type de fichier Fuzzer et dans jbrofuzz, nous avons sélectionné Zero Fuzzers.
Ces tests ne sont pas concluants, ils ne sont qu'une alerte pour que nous puissions approfondir l'enquête. Ces simulations d'attaques et ces analyses automatisées peuvent fournir une solution rapide pour l'audit des sites Web.
Il est important que ces outils soient utilisés avec soin et à des fins éthiques, car ils sont également utilisés par les webmasters et ceux qui gèrent les serveurs et les pirates malveillants. OWASP ZAP est un outil largement utilisé par ceux qui font du piratage éthique pour leur travail sur les applications d'audit et de test de la sécurité Web.
Pour plus d'informations sur la sécurité informatique avec d'autres techniques, attaques, hack etc. restez à jour et partagez vos connaissances ici :
