OWASP ZAP Maniacs #6 - Speaker Deck

Slide 1

Slide 1 text

第39回ハンズオンセミナー脆弱性診断ええんやで(^^) OWASP ZAP Maniacs #6 2016年8月24日（水）脆弱性診断研究会 (Security Testing Workshop)

Slide 2

Slide 2 text

脆弱性診断研究会とは Webアプリケーションやネットワーク機器などに対するセキュリティ診断の最新手法や診断ツール使用法の勉強や研究をするためのコミュニティコワーキングスペース茅場町 Co-Edo（コエド）様にて第1回セミナーを2014年8月に開催して以来、2016年7月現在で38回のパブリックセミナーを実施プライベートセミナーは年に数回実施 © 2016 脆弱性診断研究会 Security Testing Workshop 2

Slide 3

Slide 3 text

Slide 4

Slide 4 text

自己紹介脆弱性診断研究会管理人・セミナー講師 • Facebook https://www.facebook.com/groups/zeijakusei.shindan.kenkyukai/ https://www.facebook.com/sec.testing.study.session/ • セミナー・イベント管理サイト https://security-testing.doorkeeper.jp/ http://security-testing.connpass.com/ © 2016 脆弱性診断研究会 Security Testing Workshop 4

Slide 5

Slide 5 text

Slide 6

Slide 6 text

1. OWASPって何？ The Open Web Application Security Project Let's know OWASP! https://speakerdeck.com/owaspjapan/lets-know-owasp-number-bpstudy20160226 工程別活用可能な資料・ツールの紹介 https://speakerdeck.com/owaspjapan/owasp-contents-reference OWASPの歩き方 https://speakerdeck.com/owaspjapan/what-is-owasp-20160319innovationegg7th © 2016 脆弱性診断研究会 Security Testing Workshop 6

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

2. ZAP作業ディレクトリ変更バッチファイル（Windows）シェルスクリプト (OS X, CentOS, Ubuntu, etc) Qiitaで公開中 http://qiita.com/nilfigo/items/0c6d76bd94deb8dee05d set zap_user_dir="C:¥Users¥user¥path¥to¥dir" java -jar zap-2.5.0.jar -dir %zap_user_dir% %* ZAP_USER_DIR=/home/user/path/to/dir java -jar zap-2.5.0.jar -dir $ZAP_USER_DIR %* © 2016 脆弱性診断研究会 Security Testing Workshop 10

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

3.a.ii. 3項目以上で認証 4. テンプレートからスクリプトを作成して改造 © 2016 脆弱性診断研究会 Security Testing Workshop 29 * スクリプトの一部抜粋 * // Prepare the login request details requestUri = new org.apache.commons.httpclient.URI(paramsValues.get("Target URL"), false); requestMethod = org.parosproxy.paros.network.HttpRequestHeader.POST; // Build the request body using the credentials values extraPostData = paramsValues.get("Extra POST data"); requestBody = paramsValues.get("Group field") + "=" + encodeURIComponent(credentials.getParam("Group")); requestBody+= "&" + paramsValues.get("Username field") + "=" + encodeURIComponent(credentials.getParam("Username")); requestBody+= "&" + paramsValues.get("Password field") + "=" + encodeURIComponent(credentials.getParam("Password")); if (extraPostData.trim().length() > 0) {

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Slide 39

Slide 39 text

Slide 40

Slide 40 text

Slide 41

Slide 41 text

Slide 42

Slide 42 text

資料  OWASP ZAP ハンズオンセミナー「第4回セキュリティ診断（自分でしたら）いかんのか？（ OWASP ZAPなら）ええんやで(^ ^)」内容まとめ • http://securitymemo.blogspot.jp/2014/12/owasp-zap-4owasp-zap.html  FoxyProxy Standard • http://getfoxyproxy.org/downloads.html • http://qiita.com/nilfigo/items/c8b5e8321e63531640a9  OWASP ZAP翻訳プロジェクト • https://crowdin.com/project/owasp-zap/ja • http://qiita.com/nightyknite/items/402e639b9d64d8f8eca5  Proxy War • http://www.slideshare.net/zaki4649/proxy-war-42161988 © 2016 脆弱性診断研究会 Security Testing Workshop 42