Índice
ZAP (Proxy de Ataque Zed) é uma ferramenta de teste de penetração para testar sites. É um scanner que permite testes automáticos de segurança na web. Neste tutorial, aprenderemos como usar a verificação de segurança executando ataques automatizados.Ele foi projetado para ser usado por iniciantes em segurança ou por especialistas com amplo conhecimento em segurança. É um software muito importante para desenvolvedores e administradores de servidor que desejam fazer testes de penetração de segurança funcional.
Algumas empresas que usam e colaboram com o ZAP são: OWASP, Mozilla, Google, Microsoft e outros.
O Zap pode ser baixado da página oficial do OWASP Zed Attack Proxy Project, existem versões para várias plataformas nativas ou multiplataforma em Java.
Uma vez baixado, descompactamos o arquivo e o executamos como qualquer software Java, neste caso usamos Linux.
De qualquer sistema operacional, podemos executar de um acesso direto ou de um terminal com o comando
java -jar zap-2.4.2.jar
Adicionamos o ip na caixa de texto URL para ataque e, a seguir, clicamos no botão Ataque. Depois de escanear todas as páginas encontradas na web obteremos o resultado.
X-Frame, que é uma vulnerabilidade que permite exibir um site completo em um iframe e, assim, fazer alguém pensar que está navegando em um site quando, na verdade, há outro incluído no iframe. Suponha que criemos um site, incluímos o Facebook em um iframe e um formulário Paypal em outro, simulando que o Facebook cobra pelo registro, portanto, com qualquer site, o pagamento iria de fato para o invasor.
if (top! = self) {top.onbeforeunload = function () {}; top.location.replace (self.location.href); }Outra vulnerabilidade encontrada neste IP é que ele não possui proteção XSS, esta pode ser implementada dependendo da linguagem de programação que utilizamos.
Evitar Ataques XSS é fácil, existem muitas bibliotecas para usar em qualquer aplicativo da web.
O método envolve verificar os dados que os usuários inserem ou de qualquer fonte de dados externa ou qualquer parâmetro que foi enviado por url.
Esses cuidados são os únicos que devemos levar em consideração para prevenir Ataques XSS e aumentar a segurança que previne ataques XSS, para isso devemos realizar a validação dos dados, controlar os dados que a aplicação recebe e evitar que códigos perigosos sejam utilizados ou executados quando os dados são introduzidos.
Função de exemplo strip_tag () em php
Esta função remove qualquer caractere html que contenha a variável $ description, exceto aqueles que ela autoriza, como neste caso
parágrafo e negrito
$ description = strip_tags ($ _ POST [descrição], ’Agora que alcançamos a primeira análise, começaremos a aplicar diferentes ferramentas e plugins para fazer Fuzzing, denomina-se Fuzzing para a utilização de várias técnicas de teste que enviam dados para a aplicação de forma massiva e sequencial, para tentar detectar vulnerabilidades na web ou no software que estamos analisando.,’);
Por exemplo, pegamos qualquer site que seja potencialmente vulnerável do tipo
http: //www.dominio/i… rdetalle & id = 105
Em outro tutorial SQLMAP, ferramenta SQL Injection e Ethical Database hacking, ele explicou que uma maneira fácil de encontrar um site para analisar é colocar section.php? Id = no mecanismo de pesquisa do Google e veremos milhares de sites que podem ser vulneráveis . Aqui está, caso esteja interessado:
Ferramenta de injeção SQL
Analisamos um site e vemos a lista de páginas vulneráveis.Aqui podemos selecionar o tipo de ataque a ser executado, selecionar o tipo File fuzzer e escolher a Payload Injection que cobre ataques xss, ataque de injeção de sql entre outros e injeção de sql que cobre todos os ataques de sql. Podemos adicionar e testar muitos tipos diferentes de ataques da lista que Zap nos oferece.
Outra análise que podemos fazer é selecionar a carga útil do servidor Web, neste caso veremos que temos um problema com sessões e cookies, pois podem ser lidos no navegador que estamos usando.
PROLONGAR
Por exemplo, vamos adicionar um payload, selecionamos o domínio ou a página principal com o botão direito e vamos em Attack> Fuzz, depois clicamos em Add, na tela Payload clicamos em Add, selecionamos o tipo de File Fuzzer e no jbrofuzz selecionamos Zero Fuzzers.
Esses testes não são conclusivos, são apenas um alerta para que possamos aprofundar a investigação. Essas simulações de ataque e varreduras automatizadas podem fornecer uma solução rápida para sites de auditoria.
É importante que essas ferramentas sejam usadas com cuidado e propósitos éticos, pois são usadas por webmasters e também por aqueles que gerenciam servidores e hackers mal-intencionados. OWASP ZAP é uma ferramenta amplamente utilizada por aqueles que fazem hacking ético para seu trabalho em aplicativos de teste e auditoria de segurança da web.
Para obter mais informações sobre segurança de TI com outras técnicas, ataques, hack etc. mantenha-se atualizado e compartilhe seu conhecimento aqui:
Tutoriais de segurança do computador
Gostou e ajudou este tutorial?Você pode recompensar o autor pressionando este botão para dar a ele um ponto positivo