OWASP ZAP(Mac판)로 취약성 진단해 보았다

소개

여러분 안녕하세요! daimyo404입니다!
보안 문제가 여러 곳에서 일어나고 있는 요즘, 취약성을 재검토하고 있는 분도 많지 않을까요?

그 때 자주 취약성 진단되는 것을 하고 있는지 생각합니다. 구체적으로 어떤 일을 하고 있는지 알고 싶었기 때문에 해 보았습니다만, 참고로 한 사이트에서는 GUI가 바뀌거나 조금 번거로운 곳도 있었기 때문에 메모.

OWASP ZAP이란?

오픈 소스 웹용 보안 스캐너로 OWASP라는 커뮤니티가 제공합니다. 이번에는 이것을 사용하여 취약성 진단을 해보겠습니다.

절차

OWASP ZAP 설치

OWASP ZAP 시작, 설정

FireFox 설정 (플러그인 배포)

진단! !

순서 1: OWASP ZAP 설치

여기 보다 다운로드

2단계: OWASP ZAP 시작, 설정

설치가 완료되면 OWASP ZAP를 시작합니다. 그리고 다른 응용 프로그램과 포트가 충돌하는 것을 방지하기 위해 포트 설정을 변경합니다.

왼쪽 상단 메뉴에서 ZAP->Preference를 누르고 옵션 화면이 열리면 왼쪽 창의 로컬 프록시를 누르고 포트를 적절하게 변경하고 OK를 누릅니다.

순서 3: FireFox 설정(플러그인 도입)

진단에 있어 웹 브라우저는 FireFox, 또, FoxyProxy라고 하는 플러그인을 도입하면, 2 클릭으로 프록시를 전환할 수 있으므로, 이번은 그 방법으로 합니다.

우선 FireFox를 기동. (설치 미완료 분은 다운로드에서) 오른쪽 상단의 햄버거 마크에서 추가 기능을 누르십시오.

검색창이 있으므로, 「FoxyProxy Standard」라고 검색해 애드온을 도입.


애드온 설정을 엽니다.


추가를 누르십시오.


타이틀과 ★마크의 개소를 입력해 Save(ProxyType는 HTTP, Username이라든지 다른 optional는 공백으로 OK)


이제 바삭바삭과 프록시를 변경할 수 있습니다.

순서 4: 진단! !

먼저 모드를 보호 모드로 설정합시다.
※진단 대상 이외에 영향을 주지 않기 위해 반드시!



여기서 아마 왼쪽 창의 '사이트' 아래에 FireFox에서 열려 있는 웹 페이지(진단 대상)가 나와 있다고 생각하기 때문에 대상 사이트를 마우스 오른쪽 버튼으로 클릭 -> '컨텍스트에 포함' -> '기본 컨텍스트'를 클릭.



왼쪽 창의 "컨텍스트에 포함"을 누르고 진단 대상 URL을 한 번 클릭하고 확인을 누릅니다.



다시 오른쪽 클릭하고 "공격"을 누르십시오! ! (이번에는 동적 스캔을 실시)


즉석 HTML 밖에 두지 않은 사이트였지만 X-Frame 옵션에 대한 진단 결과가 나왔습니다.

마지막으로

스쿠쇼 가득 붙여서 해봐!

참고 사이트

Mac용 OWASP ZAP에서 취약점 검사 설정
OWASP ZAP라는 웹 앱 취약성 진단 도구 사용(입문편)