Zap

Zap Grundlagen

Einleitung

ZAP (kurz fuer Zed Attack Proxy) ist ein quelloffener Sicherheitsscanner fuer Webanwendungen. Frueher lief das Projekt als OWASP ZAP unter dem Dach des Open Web Application Security Project (OWASP). Das ist nicht mehr aktuell: ZAP hat OWASP 2023 verlassen und ist zum Software Security Project (unter der Linux Foundation) gewechselt, um die Finanzierung der Weiterentwicklung zu sichern. Seit September 2024 sind die Hauptentwickler bei Checkmarx angestellt, das Projekt wird seitdem als "ZAP by Checkmarx" gefuehrt. Es bleibt dabei quelloffen, community-gesteuert und kostenlos - eine kommerzielle "Pro"-Version wie bei Burp Suite gibt es nicht.

• Es ist sowohl fuer Einsteiger in die Anwendungssicherheit als auch fuer professionelle Penetrationstester gedacht.
• Als Proxy-Server eingesetzt ermoeglicht es, den gesamten durchlaufenden Datenverkehr zu manipulieren - auch Verkehr, der ueber HTTPS verschluesselt ist.
• Es kann zusaetzlich in einem Daemon-Modus laufen und wird dann ueber eine REST-API gesteuert.
• ZAP wurde urspruenglich von Paros abgezweigt, einem aelteren Pentesting-Proxy.
• Es wird unter der Apache-Lizenz veroeffentlicht.

Einige der integrierten Funktionen:

• abfangender Proxy-Server (Intercepting Proxy)
• traditionelle und AJAX-Webcrawler
• automatisierter (aktiver) Scanner
• passiver Scanner
• erzwungenes Browsing (Forced Browsing)
• Fuzzer
• WebSocket-Unterstuetzung
• Skriptsprachen
• Plug-n-Hack-Unterstuetzung

• Es verfuegt ueber eine Plugin-basierte Architektur mit einem Online-Marktplatz (ZAP Marketplace), ueber den sich neue oder aktualisierte Funktionen nachinstallieren lassen.

Zap Installation

• apt install zaproxy

Zap Brute Force

Passwort liste laden

Die Passwortliste enthaelt haeufig verwendete, schwache Passwoerter und dient als Payload-Quelle fuer den Angriff.

• wget https://www.xinux.de/downloads/bad-passwords

ZAP starten und Browser oeffnen

ZAP faengt Requests standardmaessig nicht ab (Break ist aus) - anders als bei Burp gibt es kein Interception-Umschalten. ueber den eingebauten Browser wird der Proxy automatisch gesetzt und das ZAP-Zertifikat ist bereits importiert.

• Manual Explore
  • Launch Browser

Es oeffnet sich ein Browser, dessen Verkehr komplett ueber ZAP laeuft.

Opfer aufrufen

Im ZAP-Browser die Login-Seite des Opfers aufrufen.

• http://opfer.sec-labs.de/scripts/login-simple.php
  • Login Simple

Testlogin absenden

Einmal mit einem beliebigen Test-Passwort einloggen, damit der POST-Request mit allen Parametern in ZAP auftaucht.

• User: xinux
• Password: sux

Dieser Request dient als Vorlage - an ihm wird gleich die Payload-Position gesetzt.

Request in den Fuzzer schicken

Der abgesendete Request landet unten im History-Tab. Dies entspricht Burps "HTTP history".

• History (unten)
  • POST-Paket mit Params auswaehlen
• Rechte Maustaste auf den Request
  • Attack
    • Fuzz...

Der ZAP-Fuzzer ist das Gegenstueck zu Burps Intruder - in ZAP voll und ungedrosselt nutzbar.

Payload-Position markieren

Im Fuzzer-Fenster wird der Request angezeigt. Statt wie bei Burp alle automatischen Positionen zu loeschen, wird die Position direkt durch Markieren gesetzt.

Im Request-Text den Passwort-Wert sux mit der Maus markieren

Rechts auf Add... klicken

Die markierte Stelle wird zur Fuzz-Position. Ein vorheriges "Clear" wie bei Burp ist nicht noetig.

Payloads laden

Jetzt wird der markierten Position die Passwortliste als Payload-Quelle zugewiesen.

Im Payloads-Dialog auf Add... klicken

Type

File waehlen und die Datei bad-passwords laden

Alternativ Type: Strings - das entspricht Burps "Simple list", bei der die Eintraege direkt untereinander eingefuegt werden.

Erfolg erkennen

ZAP hat keinen fertigen "Grep-Match"-Haken wie Burp. Der erfolgreiche Login wird stattdessen ueber die Antwortgroesse erkannt: Eine erfolgreiche Anmeldung liefert eine andere Seite als eine fehlgeschlagene, also weicht die Laenge der Antwort ab.

• Fuzzer starten
• In der Ergebnisliste nach der Spalte Size Resp. Body sortieren

Der Treffer faellt durch die abweichende Laenge sofort auf. Diese Spalte entspricht Burps "Length".

Angriff starten

• Start Fuzzer druecken

ZAP arbeitet die komplette Passwortliste ab. Die Content-Length muss nicht angepasst werden - ZAP korrigiert sie beim Fuzzen automatisch. Die Anzahl paralleler Threads laesst sich im Fuzzer unter Options einstellen.

Optional: automatisch auf einen Text in der Antwort pruefen

Wer den Treffer nicht ueber die Groesse, sondern ueber einen bestimmten Text in der erfolgreichen Antwort (z.B. das Wort Hallo) erkennen will, kann ein kleines Processor-Script einhaengen. Es benoetigt das Skripting-Add-on, das in ZAP kostenlos enthalten ist.

Fuzzer HTTP Processor-Script

function processResult(utils, fuzzResult) {
    var body = fuzzResult.getHttpMessage().getResponseBody().toString();
    if (body.indexOf("Hallo") > -1) {
        fuzzResult.addCustomState("Treffer", "JA");
    }
    return true;
}

Das Script im Fuzzer unter Message Processors einhaengen. Bei einem Treffer erscheint in einer eigenen Spalte der Wert JA.

• zap allgemein
• zap installation
• zap automatischer scan
• zap mit anderem Browser
• zap manueller scan
• zap xml für faraday
• zap cli scans