Skann et nettstedssårbarhet med ZAP

ZAP (Zed Attack Proxy) er et penetrasjonstestverktøy for testing av nettsteder. Det er en skanner som tillater automatiske websikkerhetstester. I denne opplæringen skal vi lære hvordan du bruker sikkerhetskontroll ved å utføre automatiske angrep.
Den er designet for å brukes av nybegynnere innen sikkerhet eller av eksperter med omfattende kunnskap om sikkerhet. Det er veldig viktig programvare for utviklere og serveradministratorer som ønsker å utføre funksjonelle sikkerhetstetninger.
Noen selskaper som bruker og samarbeider med ZAP er: OWASP, Mozilla, Google, Microsoft og andre.
Zap kan lastes ned fra OWASP Zed Attack Proxy Project offisielle side, det er versjoner for forskjellige innfødte plattformer eller en multiplatform i Java.

I dette tilfellet vil vi bruke Cross -plattformen eller multiplatform -versjonen, som inneholder alle versjonene, som er programmert i Java, for å kjøre den må vi ha installert JRE 7 (Java Runtime Environment) eller høyere.
Når den er lastet ned, pakker vi ut filen og kjører den som hvilken som helst Java -programvare, i dette tilfellet bruker vi Linux.
Fra ethvert operativsystem kan vi utføre fra en direkte tilgang eller fra en terminal med kommandoen

 java -jar zap -2.4.2.jar

Vi godtar vilkårene som vises når vi starter og går til hovedskjermen til programvaren.

Vi skal utføre en sikkerhetstest. Du kan bruke domenet eller web -ip i dette tilfellet vil vi bruke ip 67.222.16.108.
Vi legger til ip -boksen i URL -en for å angripe tekstboksen og klikker deretter på Angrep -knappen. Etter å ha skannet alle sidene som er funnet på nettet, får vi resultatet.

Vi kan se at det ble funnet noen sårbarheter som:
X-Frame, som er et sårbarhet som lar deg vise et komplett nettsted i en iframe og dermed få noen til å tro at de surfer på et nettsted når de faktisk har et annet inkludert i iframe. Anta at vi oppretter et nettsted, vi inkluderer Facebook i en iframe og et Paypal -skjema i et annet, som simulerer at Facebook tar betalt for registrering, så med et hvilket som helst nettsted vil betalingen faktisk gå til angriperen.

Denne typen angrep kalles clickjacking og det kan forhindres for eksempel med Javascript ved å sette denne koden i kodene på nettet.

 if (top! = self) {top.onbeforeunload = function () {}; top.location.replace (self.location.href); }

En annen sårbarhet som finnes i denne IP -en er at den ikke har XSS -beskyttelse, dette kan implementeres avhengig av programmeringsspråket vi bruker.
Unngå XSS -angrep det er lett det er mange biblioteker å bruke i et hvilket som helst webprogram.
Metoden innebærer å verifisere dataene som brukerne legger inn eller fra en ekstern datakilde eller en parameter som ble sendt av url.
Disse bekymringene er de eneste vi må ta hensyn til for å forhindre XSS -angrep og øke sikkerheten som forhindrer XSS -angrep, for dette må vi utføre datavalidering, kontrollere dataene som programmet mottar og forhindre at farlig kode brukes eller utføres når data legges inn.
Eksempelfunksjon strip_tag () i php
Denne funksjonen fjerner alle html -tegn som inneholder variabelen $ description, bortsett fra de som den godkjenner, som i dette tilfellet

avsnitt og Fet skrift

 $ description = strip_tags ($ _ POST [description], '
,’);

Nå som vi har oppnådd den første analysen, vil vi begynne å bruke forskjellige verktøy og plugins for å gjøre Fuzzing, det kalles Fuzzing for bruk av forskjellige testteknikker som sender data til applikasjonen på en massiv og sekvensiell måte, for å prøve å oppdage sårbarheter på nettet eller i programvaren vi analyserer.
For eksempel tar vi ethvert nettsted som er potensielt sårbart av typen
http: //www.dominio/i… rdetalle & id = 105
I en annen SQLMAP -opplæring, SQL -injeksjonsverktøy og etisk databasehacking, forklarte han at en enkel måte å finne et nettsted å analysere på er å sette section.php? Id = i Googles søkemotor, og vi vil se tusenvis av nettsteder som kan være sårbare . Her har du den hvis du er interessert:

SQL -injeksjonsverktøy

Vi analyserer et nettsted og ser listen over sårbare sider.

Så tar vi en av sidene, i dette tilfellet index.php som har to variabler id og seksjon, så høyreklikker vi på denne siden.

Vi går til angrepsmenyen og velger Fuzz, Fuzzer -vinduet åpnes og vi klikker på den tomme tekstboksen, dette vil aktivere Legg til -knappen som lar oss legge til den spesifikke angrepstypen.

Deretter ser vi nyttelastskjermbildet. Funksjonene eller utnyttelsen som tilbys av programvare for å teste og søke etter sårbarheter og forårsake feil på nettet som vi kontrollerer, kalles nyttelast. I denne skjermen klikker vi på Legg til for å legge til en nyttelast.
Her kan vi velge angrepstype som skal utføres, velge File fuzzer type og velge nyttelastinjeksjon som dekker xss -angrep, sql -injeksjonsangrep blant andre og sql -injeksjon som dekker alle sql -angrep. Vi kan legge til og teste mange forskjellige typer angrep fra listen som Zap tilbyr oss.

Deretter klikker vi på legg til, deretter på Godta og klikker på Start Fuzzer -knappen for å starte revisjonen.

Som et resultat av skanning med Nyttelastinjeksjon Y SQL -injeksjon, oppdaget vi at nettet er sårbart for XSS-angrep, og det har minst tre feil når det står overfor høyrisiko sql-injeksjoner, og det forteller oss på hvilke sider problemet er.
En annen analyse vi kan utføre er ved å velge Web Server nyttelast, i dette tilfellet vil vi se at vi har et problem med økter og informasjonskapsler siden de kan leses fra nettleseren vi bruker.

FORSTØRRE

Et annet alternativ er å simulere trafikk av 10.000 nesten samtidige brukere, som vil navigere i alle koblingene som er tilgjengelige på nettstedet vårt, og generere forespørsler om å se om nettstedet ikke er mettet og er ute av drift.
For eksempel skal vi legge til en nyttelast, vi velger domenet eller hovedsiden med høyre knapp, og vi skal angripe> Fuzz, deretter klikker vi på Legg til, deretter i nyttelast -skjermen klikker vi på Legg til, vi velger File Fuzzer type og i jbrofuzz ​​valgte vi Zero Fuzzers.

Etter å ha utført nyttelasten vil vi se trafikken til sidene våre, men vi vil også se trafikken til de nettsidene vi har koblet til.

Vi kan se i tilfelle av dette nettstedet trafikken generert til facebook, twitter, linkedin, google plus, blant andre som sikkert utgjør strategien for sosiale medier på dette nettstedet. Hvis vi har Google Analytics eller Google Searh Console (tidligere Webmastertools) Det vil også generere trafikk, så det er ikke bra å overskride disse testene, eller det er bedre å gjøre det lokalt, med Google Analytics deaktivert.

Internett og webapplikasjoner øker antall brukere hver dag, så etterspørselen etter informasjonssikkerhetseksperter og revisorer i selskaper er svært viktig.
Disse testene er ikke avgjørende, de er bare et varsel slik at vi kan utdype etterforskningen. Disse angrepssimuleringene og automatiserte skanninger kan gi en rask løsning for revisjon av nettsteder.
Det er viktig at disse verktøyene brukes med forsiktighet og etiske formål, ettersom de brukes av nettredaktører og de som administrerer servere og ondsinnede hackere også. OWASP ZAP er et verktøy som er mye brukt av de som gjør etisk hacking for sitt arbeid med nettsikkerhetsrevisjon og testing av applikasjoner.
For mer informasjon om IT -sikkerhet med andre teknikker, angrep, hack osv. hold deg oppdatert og del din kunnskap her:

Datasikkerhetsopplæringer

Likte og hjalp du denne opplæringen?Du kan belønne forfatteren ved å trykke på denne knappen for å gi ham et positivt poeng