OWASP ZAPのAPIとCLI / 20190830 - Security Testing Workshop

Transcript

1. 第76回ハンズオンセミナー 脆弱性診断ええんやで(^^) OWASP ZAPの APIとCLI 2019年8⽉30⽇（⾦） 脆弱性診断研究会 (Security Testing Workshop)

2. 脆弱性診断研究会とは Webアプリケーションの脆弱性を診断 する⼿法や脆弱性診断ツールの使⽤法 などを研究するコミュニティ。コワー キングスペース茅場町Co-Edo様にて第 １回セミナーを2014年８⽉に開催して 以来2019年8⽉現在で76回のセミナー を実施。 © 2019

   脆弱性診断研究会 Security Testing Workshop 2 2019/08/30

3. ⾃⼰紹介 松本 隆則 @nilfigo（ニルフィーゴ、ニルフィ） • 脆弱性診断研究会 主宰 • EGセキュアソリューションズ株式会社 •

   OWASP Japan プロモーションチーム • ZAP Evangelist (New!) 3 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30

4. ZAP Evangelist https://github.com/zaproxy/zaproxy/wiki/ZapEvangelists • The following people are happy to

   give free ZAP talks and/or training in their respective locations • Most ZAP evangelists will travel to give talks or training provided expenses are covered. 4 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30

5. アジェンダ • 脆弱性とは？ • 脆弱性診断とは？ • OWASPってナニ？ • OWASP ZAP

   ってナニ？ • ZAP CLI • ZAP API 5 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30

6. 脆弱性とは 脆弱性（ぜいじゃくせい）とは、コンピュータのOSやソフトウェアにお いて、プログラムの不具合や設計上のミスが原因となって発生し た情報セキュリティ上の欠陥のことを言います。 • 「総務省 安⼼してインターネットを使うために 国⺠のための情報セキュリティサイト」より引⽤ http://www.soumu.go.jp/main_sosiki/joho_tsusin/security/basic/risk/11.html •

   ⽂中の強調はスライド作成者による © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 6

7. 脆弱性診断とは ちょい足し異常系テスト © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 7

8. ちょい⾜し異常系テスト ちょい⾜しする隠し味のひとつが OWASP ZAP © 2019 脆弱性診断研究会 Security Testing Workshop

   2019/08/30 8

9. OWASP ってナニ︖ The O pen W eb A pplication S

   ecurity P roject 9 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30

10. OWASP ってナニ︖ OWASPとは、Webをはじめとするソフト ウェアのセキュリティ環境の現状、またセ キュアなソフトウェア開発を促進する技術・ プロセスに関する情報共有と普及啓発を⽬的 としたプロフェッショナルの集まる、オープ ンソース・ソフトウェアコミュニティです。 http://blog.owaspjapan.org/ より引⽤

    10 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30

11. OWASP ZAP ってナニ？ • https://www.owasp.org/index.php/OWASP_Zed_Attack_ Proxy_Project • 世界中のエンジニアによって開発されている セキュリティ診断⽤プロキシツール •

    ZAP ＝ Zed Attack Proxy プロキシとして動作して、ブラウザとWebアプリケーショ ン間の通信の閲覧および改変が可能 • オープンソース（Apache License 2.0） • 商⽤・⾮商⽤問わず無償で利⽤可能 © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 11

12. OWASP ZAPの基本設定 nモード • セーフモード • プロテクトモード • 標準モード •

    攻撃モード © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 12

13. OWASP ZAPの基本設定 【重要】プロテクトモード以外は使⽤禁⽌！！ なぜなら 管理外のサイトへの診断を実⾏する危険性が⾼い © 2019 脆弱性診断研究会 Security Testing

    Workshop 2019/08/30 13

14. OWASP ZAPの基本設定 nオプション • ローカル・プロキシ • Address、ポート • スパイダー •

    動的スキャン © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 14

15. OWASP ZAPの基本設定 nアドオン • インストール • アップデート nポリシー • スキャンポリシー

    © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 15

16. ZAP CLI コマンドラインインターフェース （Command Line Interface）で OWASP ZAPを操作 © 2019

    脆弱性診断研究会 Security Testing Workshop 2019/08/30 16

17. コマンドラインオプション 2019/08/30 © 2019 脆弱性診断研究会 Security Testing Workshop 17 HelpCmdline

    · zaproxy/zap-core-help Wiki https://github.com/zaproxy/zap-core-help/wiki/HelpCmdline

18. オススメのオプション • -daemon UIなしで起動 • -dir <dir> 作業ディレクトリ指定 • -newsession

    <path> ZAPセッションの保存先指定 • -host <host> ZAPの待受IPアドレス指定 • -port <port> ZAPの待受ポート指定 2019/08/30 © 2019 脆弱性診断研究会 Security Testing Workshop 18

19. ZAP APIとは？ OWASP ZAPを操作するAPI © 2019 脆弱性診断研究会 Security Testing Workshop

    2019/08/30 19

20. ZAP API 事前準備 ［ツール］ →［オプション］ →［API］ © 2019 脆弱性診断研究会 Security

    Testing Workshop 2019/08/30 20

21. ZAP API 事前準備① 有効 UI Enabled □Secure Only © 2019

    脆弱性診断研究会 Security Testing Workshop 2019/08/30 21

22. ZAP API 事前準備② すべてのAddressを「有効」に。 © 2019 脆弱性診断研究会 Security Testing Workshop

    2019/08/30 22

23. ZAP API 事前準備③ これら6つの設定はすべて「危険」なので、よく考えてから設定しましょう。 © 2019 脆弱性診断研究会 Security Testing Workshop

    2019/08/30 23

24. ZAP API ⼀覧 OWASP ZAPで［ツール］→［API⼀覧］ ↓ OSのデフォルトブラウザでAPIトップページが 表⽰される © 2019

    脆弱性診断研究会 Security Testing Workshop 2019/08/30 24

25. ZAP API UI © 2019 脆弱性診断研究会 Security Testing Workshop 127.0.0.1:57777

    （OWASP ZAPのIPアドレス＆ポート） 「ローカル API」リンクで⼀覧表⽰ 2019/08/30 25

26. ZAP API 主なAPI © 2019 脆弱性診断研究会 Security Testing Workshop コンポーネント

    概要 ascan 動的スキャン（Active Scanner）の管理/操作 context コンテキスト操作 core ZAPセッション管理、アラート表⽰など pscan 静的スキャン（Passive Scanner）の管理/操作 spider スパイダー（クローリングツール） 2019/08/30 26

27. ZAP API © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 27

28. ZAP API アクセス⽅法 • ブラウザ経由 • curlコマンド © 2019 脆弱性診断研究会

    Security Testing Workshop 2019/08/30 28

29. ZAP APIで脆弱性診断 1. 診断対象登録 2. 診断対象情報収集 3. 脆弱性診断実施 4. 診断結果確認

    © 2019 脆弱性診断研究会 Security Testing Workshop 2019/08/30 29

30. 1. 診断対象登録 1. newContext 2. includeInContext 3. contextList © 2019

    脆弱性診断研究会 Security Testing Workshop 2019/08/30 30

31. 2. 診断対象情報収集 1. spider © 2019 脆弱性診断研究会 Security Testing Workshop

    2019/08/30 31

32. 3. 脆弱性診断実施 1. ascan © 2019 脆弱性診断研究会 Security Testing Workshop

    2019/08/30 32

33. 4. 診断結果確認 1. report © 2019 脆弱性診断研究会 Security Testing Workshop

    2019/08/30 33