Hello there, ('ω')ノ
OWASP ZAPについても操作についてまとめておこうかと。
まずは、ローカルプロキシを使うために。
プロキシの設定を確認して。
『ツール』⇨『オプション』で静的スキャンの検査項目を確認して。
動的スキャンの検査項目は、『ポリシー』⇨『スキャンポリシー』でと。
実行モードは、『プロテクトモード』を選択して。
ここは、他のサイトに迷惑をかけないためにも本当に重要でして。
いよいよ、サイトにアクセスして。
サイト一覧に反映されることを確認して。
ここでのポイントが、クロール機能に頼りきると漏れがあったりと。
なので、一通りは遷移図等に従って操作して確認しておくことがお勧めで。
漏れがあっては困りますので。
スパイダー機能については、検査対象のサイトを右クリックして。
『攻撃』⇨『スパイダー』を選択して。
診断時にデータを変更させないために下記のチェックを外してスキャンを開始。
・Process forms
・POST forms
はじめにすべてのサイトを閲覧していればサイト一覧に表示されるとおもいますが。
はじめからスパイダーを使用した際は、検出されていないURLがないかを確認して。
なければサイトへアクセスして，再度スパイダーで検出させて。
次に動的スキャンをする前に検査項目を確認して。
必要な検査項目だけに絞って。
次に検査対象のURLをコンテキストへ含めて。
すると、追加されたURLのアイコンは、ナルトのような表示がくっついて。
また、サイト一覧を右クリックしてコンテキストから除くこともできて。
下記のような感じで、コンテキスト対象外へと。
単なるページ遷移だけでは十分に動的スキャンが機能せず。
ポイントは、きちんとデータを入力して実行ボタンを押したりと。
一通り機能を確認しておくことがポイントで。
最後にレポートの生成については。
Burp Suiteのように脆弱性個別での生成はできそうもなく。
出力した結果は、こんな感じで。
Burp Suiteと比較するとちょっと地味な感じ。
でも２つのツールを組み合わせて評価することでより精度が高くなるようにも思えて。
Best regards, (^^ゞ
