OWASP ZAPで脆弱性診断してみる

この記事は更新から2年以上経過しています。情報が古い可能性がありますのでご注意下さい。

5年以上前に一度試したことがあったものの、久々にやってみようとして色々と忘れてしまっていたので、今後の為にも書き記しておくことにします。

Javaのダウンロード＆インストール

上記ページから「すべてのJavaのダウンロードを表示します。」のリンクをクリックし、「Windows オフライン (64ビット)」を選択します。※Windows 64bitの場合

最初、ダウンロードページTOPからダウンロードしたものをインストールしたところ、OWASP ZAPをインストール出来ませんでした。何か違うのかもしれません。

ツールからオプションを選択します。

“Enable when using the ZAP Desktop”のチェックを外します。これにチェックが入っていると、ローカルのサイトでhttpに接続しても強制的にhttpsで接続されるからです。

Addressにlocalhost、ポートに8080を入力します。ポートは既に使用されていなければ（wellknownポート以外なら）別のポートでも問題ありません。

例としてFirefoxの場合で説明します。設定画面から一般を選択し、ネットワーク設定を開きます。

“手動でプロキシーを設定する”を選択し、HTTPプロキシーにlocalhost、ポートにOWASP ZAPで設定したポート（ここでは8080）を入力、”このプロキシーをHTTPSでも使用する”にチェックします。

ブラウザで対象のサイトにアクセスします。

ウェブサイトの構造や仕様によって診断方法は変わってくるかと思いますが、私自身もまだ完全に理解出来ていません。公式ドキュメントを読んでいくしかないようです。

Burp Suiteというツールもあります。こちらは有償版と無償版があります。（無償はCommunity Edion）