ZAP ile bir web sitesi güvenlik açığını tarayın

ZAP (Zed Saldırı Proxy'si) web sitelerini test etmek için bir penetrasyon testi aracıdır. Otomatik web güvenlik testlerine izin veren bir tarayıcıdır. Bu eğitimde, otomatik saldırılar gerçekleştirerek güvenlik kontrolünün nasıl kullanılacağını öğreneceğiz.
Güvenlik konusunda yeni başlayanlar veya kapsamlı güvenlik bilgisine sahip uzmanlar tarafından kullanılmak üzere tasarlanmıştır. Fonksiyonel güvenlik sızma testleri yapmak isteyen geliştiriciler ve sunucu yöneticileri için oldukça önemli bir yazılımdır.
ZAP kullanan ve işbirliği yapan bazı şirketler şunlardır: OWASP, Mozilla, Google, Microsoft ve diğerleri.
Zap, OWASP Zed Attack Proxy Projesi resmi sayfasından indirilebilir, Java'da çeşitli yerel platformlar veya çoklu platform için sürümler vardır.

Bu durumda Java'da programlanmış tüm sürümleri içeren Çapraz platform veya çok platformlu sürümü kullanacağız, çalıştırmak için yüklememiz gerekecek JRE 7 (Java Çalışma Zamanı Ortamı) veya daha yüksek.
İndirdikten sonra dosyayı açarız ve herhangi bir Java yazılımı gibi çalıştırırız, bu durumda Linux kullanıyoruz.
Herhangi bir işletim sisteminden doğrudan erişimden veya komutla bir terminalden çalıştırabiliriz.

 java -jar zap-2.4.2.jar

Başlatırken gösterilen hüküm ve koşulları kabul ediyoruz ve yazılımın ana ekranına gidiyoruz.

Bir güvenlik testi yapacağız, bu durumda ip 67.222.16.108 kullanacağız bu durumda web'in etki alanını veya ipini kullanabilirsiniz.
URL'ye saldırmak için ip'yi metin kutusuna ekliyoruz ve ardından Saldırı düğmesine tıklıyoruz. Web'de bulunan tüm sayfaları taradıktan sonra sonucu alacağız.

Aşağıdaki gibi bazı güvenlik açıklarının bulunduğunu görebiliriz:
X-Frame, eksiksiz bir web sitesini bir iframe içinde görüntülemenize ve böylece birinin iframe'de gerçekten başka bir web sitesine sahipken bir web sitesine göz attığını düşünmesine olanak tanıyan bir güvenlik açığıdır. Bir web sitesi oluşturduğumuzu, Facebook'u bir iframe'e ve bir Paypal formunu başka bir iframe'e dahil ettiğimizi ve Facebook'un kayıt için ücret aldığını simüle ettiğimizi ve herhangi bir web sitesinde ödemenin gerçekten saldırgana gideceğini varsayalım.

Bu tür saldırı denir tıklama ve örneğin Javascript ile bu kodu web'in etiketlerine koyarak önlenebilir.

 if (üst! = self) {top.onbeforeunload = function () {}; top.location.replace (self.location.href); }

Bu IP'de bulunan bir diğer güvenlik açığı ise XSS korumasına sahip olmamasıdır, kullandığımız programlama diline bağlı olarak bu uygulanabilir.
Önlemek XSS saldırıları herhangi bir web uygulamasında kullanılabilecek birçok kitaplık olması kolaydır.
Yöntem, kullanıcıların girdiği veya herhangi bir harici veri kaynağından veya url tarafından gönderilen herhangi bir parametreden gelen verilerin doğrulanmasını içerir.
Önlemek için dikkate almamız gereken tek şey bu endişelerdir. XSS saldırıları ve XSS saldırılarını önleyen güvenliği artırın, bunun için veri doğrulaması yapmalı, uygulamanın aldığı verileri kontrol etmeli ve veri girildiğinde tehlikeli kodun kullanılmasını veya yürütülmesini engellemeliyiz.
php'de örnek işlev strip_tag ()
Bu işlev, bu durumda olduğu gibi, yetkilendirdikleri dışında, $ açıklama değişkenini içeren tüm html karakterlerini kaldırır.

paragraf ve kalın yazı tipi

 $ açıklama = strip_tags ($ _ POST [açıklama], '
,’);

Şimdi ilk analizi elde ettiğimize göre, Fuzzing yapmak için farklı araçlar ve eklentiler uygulamaya başlayacağız, uygulamaya büyük ve sıralı bir şekilde veri gönderen çeşitli test tekniklerinin kullanılmasına Fuzzing denir, algılamaya çalışmak. Web'deki veya analiz ettiğimiz yazılımdaki güvenlik açıkları.
Örneğin, türde potansiyel olarak savunmasız olan herhangi bir web sitesini alıyoruz
http: //www.dominio/i… rdetalle & id = 105
Başka bir SQLMAP eğitiminde, SQL Enjeksiyon aracında ve Etik veritabanı hacklemesinde, analiz edilecek bir web sitesi bulmanın kolay bir yolunun Google arama motoruna partition.php? . İlginizi çekerse diye burada:

SQL enjeksiyon aracı

Bir web sitesini analiz eder ve savunmasız sayfaların listesini görürüz.

Sonra sayfalardan birini alıyoruz, bu durumda iki değişkenli id ​​ve bölüm olan index.php'yi alıyoruz ve bu sayfaya sağ tıklıyoruz.

Attack menüsüne gidip Fuzz'ı seçiyoruz, Fuzzer penceresi açılıyor ve boş metin kutusuna tıklıyoruz, bu belirli bir saldırı türünü eklememize izin verecek Ekle düğmesini etkinleştirecek.

Daha sonra Payloads ekranını göreceğiz. Denetlediğimiz web'de güvenlik açıklarını test etmek ve aramak ve hatalara neden olmak için yazılım tarafından sağlanan işlevlere veya istismara Payload denir. Bu ekranda Payload eklemek için Add'e tıklıyoruz.
Burada gerçekleştirilecek saldırı türünü seçebilir, Dosya fuzzer türünü seçebilir ve xss saldırılarını, diğerleri arasında sql enjeksiyon saldırısını ve tüm sql saldırılarını kapsayan sql enjeksiyonunu kapsayan Payload Injection'ı seçebiliriz. Zap'in bize sunduğu listeden birçok farklı saldırı türünü ekleyip test edebiliyoruz.

Ardından ekle'ye, ardından Kabul Et'e tıklıyoruz ve denetimi başlatmak için Fuzzer'i Başlat düğmesine tıklıyoruz.

ile tarama sonucunda Yük Enjeksiyonu Y SQL Enjeksiyonu, web'in XSS saldırılarına karşı savunmasız olduğunu ve yüksek riskli sql enjeksiyonları ile karşılaştığında en az üç kusuru olduğunu tespit ettik ve sorunun hangi sayfalarda olduğunu bize söylüyor.
Yapabileceğimiz bir diğer analiz ise Web Sunucusu payload'ını seçmektir, bu durumda kullandığımız tarayıcıdan okunabildikleri için oturumlar ve çerezlerle ilgili bir sorunumuz olduğunu göreceğiz.

BÜYÜT

Başka bir seçenek de simülasyonu yapmaktır. trafiği Web sitemizde bulunan tüm bağlantılarda gezinecek olan neredeyse eşzamanlı 10.000 kullanıcı, web sitesinin doygun olup olmadığını ve hizmet dışı olup olmadığını görmek için istekler oluşturur.
Örneğin bir payload ekleyeceğiz, domaini veya ana sayfayı sağ tuş ile seçiyoruz ve Attack> Fuzz'a gidiyoruz, ardından Add'e tıklıyoruz, ardından Payload ekranında Add'e tıklıyoruz, File Fuzzer tipini seçiyoruz. ve jbrofuzz'da Zero Fuzzers'ı seçtik.

Yükü yürüttükten sonra sayfalarımıza gelen trafiği göreceğiz, ancak bağladığımız web sayfalarına gelen trafiği de göreceğiz.

Bu web sitesi örneğinde, bu web sitesinin sosyal medya stratejisini oluşturan diğerlerinin yanı sıra facebook, twitter, linkedin, google plus'a oluşturulan trafiği görebiliriz. Google Analytics veya Google Searh Konsolumuz varsa (eski adıyla Webmastertools) Ayrıca trafik de oluşturacaktır, bu nedenle bu testleri aşmak iyi değildir veya bunu Google analitiği devre dışıyken yerel olarak yapmak daha iyidir.

İnternet ve web uygulamaları her geçen gün kullanıcı sayısını artırmakta, bu nedenle şirketler bünyesinde bilgi güvenliği uzmanlarına ve denetçilere olan talep oldukça önemlidir.
Bu testler kesin değildir, yalnızca soruşturmayı derinleştirebilmemiz için bir uyarıdır. Bu saldırı simülasyonları ve otomatik taramalar, web sitelerini denetlemek için hızlı bir çözüm sağlayabilir.
Bu araçların web yöneticileri, sunucuları yönetenler ve kötü niyetli bilgisayar korsanları tarafından kullanıldığı için dikkatli ve etik amaçlarla kullanılması önemlidir. OWASP ZAP, web güvenliği denetleme ve test uygulamaları konusundaki çalışmaları için etik korsanlık yapanlar tarafından yaygın olarak kullanılan bir araçtır.
Diğer teknikler, saldırılar, hack vb. ile BT Güvenliği hakkında daha fazla bilgi için. güncel kalın ve bilginizi burada paylaşın:

Bilgisayar Güvenliği Eğitimleri

Bu Eğitimi beğendiniz ve yardım ettiniz mi?Yazara olumlu puan vermek için bu düğmeye basarak yazarı ödüllendirebilirsiniz.