Scan et websites sårbarhed med ZAP

ZAP (Zed Attack Proxy) er et penetrationstestværktøj til test af websteder. Det er en scanner, der tillader automatiske websikkerhedstests. I denne vejledning lærer vi, hvordan du bruger sikkerhedskontrol ved at udføre automatiske angreb.
Det er designet til at blive brugt af begyndere inden for sikkerhed eller af eksperter med omfattende viden om sikkerhed. Det er meget vigtig software til udviklere og serveradministratorer, der ønsker at udføre funktionelle sikkerhedspenetrationstest.
Nogle virksomheder, der bruger og samarbejder med ZAP, er: OWASP, Mozilla, Google, Microsoft og andre.
Zap kan downloades fra OWASP Zed Attack Proxy Project officielle side, der er versioner til forskellige native platforme eller en multiplatform i Java.

I dette tilfælde vil vi bruge Cross -platformen eller multiplatform -versionen, som indeholder alle versionerne, som er programmeret i Java, for at køre den, skal vi have installeret JRE 7 (Java Runtime Environment) eller højere.
Når den er downloadet, pakker vi filen ud og kører den som enhver Java -software, i dette tilfælde bruger vi Linux.
Fra ethvert operativsystem kan vi eksekvere fra en direkte adgang eller fra en terminal med kommandoen

 java -jar zap -2.4.2.jar

Vi accepterer de vilkår og betingelser, der vises, når vi starter, og går til hovedskærmen i softwaren.

Vi skal udføre en sikkerhedstest, du kan bruge domænet eller internetets ip i dette tilfælde vil vi bruge ip 67.222.16.108.
Vi tilføjer ip'en i tekstfeltet URL til angreb og klikker derefter på knappen Angreb. Efter at have scannet alle de sider, der findes på internettet, får vi resultatet.

Vi kan se, at der blev fundet nogle sårbarheder som:
X-Frame, som er en sårbarhed, der giver dig mulighed for at vise et komplet websted i en iframe og dermed få nogen til at tro, at de søger på et websted, når de faktisk har et andet inkluderet i iframe. Antag, at vi opretter et websted, vi inkluderer Facebook i en iframe og en Paypal -formular i en anden, hvilket simulerer, at Facebook opkræver betaling for registrering, så med ethvert websted ville betalingen faktisk gå til angriberen.

Denne type angreb kaldes clickjacking og det kan forhindres for eksempel med Javascript ved at sætte denne kode i webets tags.

 hvis (top! = self) {top.onbeforeunload = function () {}; top.location.replace (self.location.href); }

En anden sårbarhed fundet i denne IP er, at den ikke har XSS -beskyttelse, denne kan implementeres afhængigt af det programmeringssprog, vi bruger.
Undgå XSS angreb det er let, der er mange biblioteker at bruge i enhver webapplikation.
Metoden indebærer at verificere de data, som brugerne indtaster eller fra en ekstern datakilde eller enhver parameter, der blev sendt af url.
Disse bekymringer er de eneste, vi skal tage i betragtning for at forhindre XSS angreb og øge sikkerheden, der forhindrer XSS -angreb, for dette skal vi udføre datavalidering, kontrollere de data, som applikationen modtager og forhindre, at farlig kode bruges eller udføres, når data indtastes.
Eksempel på funktion strip_tag () i php
Denne funktion fjerner ethvert html -tegn, der indeholder variablen $ description, undtagen dem, som den godkender, som i dette tilfælde

afsnit og fed skrift

 $ description = strip_tags ($ _ POST [description], '
,’);

Nu hvor vi har opnået den første analyse, begynder vi at anvende forskellige værktøjer og plugins til at lave Fuzzing, det kaldes Fuzzing til brug af forskellige testteknikker, der sender data til applikationen på en massiv og sekventiel måde, for at forsøge at opdage sårbarheder på nettet eller i den software, vi analyserer.
For eksempel tager vi ethvert websted, der er potentielt sårbart af typen
http: //www.dominio/i… rdetalle & id = 105
I en anden SQLMAP -tutorial, SQL Injection -værktøj og etisk databasehacking forklarede han, at en let måde at finde et websted at analysere på er at sætte section.php? Id = i Googles søgemaskine, og vi vil se tusindvis af websteder, der kan være sårbare . Her har du det, hvis du er interesseret:

SQL -injektionsværktøj

Vi analyserer et websted og ser listen over sårbare sider.

Så tager vi en af ​​siderne, i dette tilfælde index.php, der har to variabler id og sektion, så højreklikker vi på denne side.

Vi går til Attack -menuen og vælger Fuzz, Fuzzer -vinduet åbnes, og vi klikker på det tomme tekstfelt, dette aktiverer knappen Tilføj, der giver os mulighed for at tilføje den specifikke angrebstype.

Dernæst vil vi se skærmen Nyttelast. Funktionerne eller udnyttelsen af ​​software til at teste og søge efter sårbarheder og forårsage fejl på internettet, som vi reviderer, kaldes Payload. I denne skærm klikker vi på Tilføj for at tilføje en nyttelast.
Her kan vi vælge den type angreb, der skal udføres, vælge File fuzzer -typen og vælge nyttelastinjektionen, der dækker xss -angreb, sql -injektionsangreb blandt andre og sql -injektion, der dækker alle sql -angreb. Vi kan tilføje og teste mange forskellige typer angreb fra listen, som Zap tilbyder os.

Derefter klikker vi på tilføj, derefter på Acceptér og klikker på knappen Start Fuzzer for at starte revisionen.

Som et resultat af scanning med Nyttelastindsprøjtning Y SQL -indsprøjtning, opdagede vi, at internettet er sårbart over for XSS-angreb, og det har mindst tre fejl, når det står over for højrisiko-sql-injektioner, og det fortæller os, på hvilke sider problemet er.
En anden analyse, vi kan udføre, er ved at vælge webserverens nyttelast, i dette tilfælde vil vi se, at vi har et problem med sessioner og cookies, da de kan læses fra den browser, vi bruger.

FORSTØRRE

En anden mulighed er at simulere trafik af 10.000 næsten samtidige brugere, der navigerer i alle de links, der er tilgængelige på vores websted, genererer anmodninger om at se, om webstedet ikke er mættet og er ude af drift.
For eksempel vil vi tilføje en nyttelast, vi vælger domænet eller hovedsiden med den højre knap, og vi går til Angreb> Fuzz, derefter klikker vi på Tilføj, derefter på skærmen Nyttelast klikker vi på Tilføj, vi vælger File Fuzzer -type og i jbrofuzz ​​valgte vi Zero Fuzzers.

Efter udførelsen af ​​nyttelasten vil vi se trafikken til vores sider, men vi vil også se trafikken til de websider, vi har linket.

Vi kan se i tilfældet med dette websted den trafik, der genereres til facebook, twitter, linkedin, google plus, blandt andre, der helt sikkert udgør den sociale mediestrategi for dette websted. Hvis vi har Google Analytics eller Google Searh Console (tidligere Webmastertools) Det vil også generere trafik, så det er ikke godt at overskride disse tests, eller det er bedre at gøre det lokalt, med Google Analytics deaktiveret.

Internettet og webapplikationer øger antallet af brugere hver dag, så efterspørgslen efter informationssikkerhedseksperter og revisorer i virksomheder er meget vigtig.
Disse tests er ikke afgørende, de er kun en advarsel, så vi kan uddybe undersøgelsen. Disse angrebssimuleringer og automatiserede scanninger kan give en hurtig løsning til revision af websteder.
Det er vigtigt, at disse værktøjer bruges med omhu og etiske formål, da de bruges af webmastere og dem, der også administrerer servere og ondsindede hackere. OWASP ZAP er et værktøj, der i vid udstrækning bruges af dem, der gør etisk hacking til deres arbejde med internetsikkerhedsrevision og testning af applikationer.
For mere information om IT -sikkerhed med andre teknikker, angreb, hack osv. hold dig opdateret og del din viden her:

Selvstudier til computersikkerhed

Kan du lide og hjælpe denne vejledning?Du kan belønne forfatteren ved at trykke på denne knap for at give ham et positivt punkt