募金担当の高橋です。OWASP ZAP 2.4で導入されたATTACK modeというモードを試してみました。OWASP ZAPの紹介はこちらです。
ATTACK modeとは
ATTACK modeとは、アクセスしたページに対して、OWASP ZAPが順次に脆弱性のチェックを行うモードです。他のモードでは一度スパイダー機能でURLを収集し、そのページに対して再度、OWASP ZAPで脆弱性のチェックを行うと手順を踏む必要がありました。この機能を起動しておけばアクセスするだけで、OWASP ZAPが自動でチェックを行ってくれます。
ATTACK modeを利用する手順
- OWASP ZAPを起動します
- ブラウザでアクセスした際に、OWASP ZAP経由でアクセスされるように設定します(設定方法は紹介ページを参照してください）
- スキャンポリシーの設定をします
メニューの「ポリシー」からスキャンポリシー*1を設定します。ATTACK modeを利用する際にはスキャンポリシーでは開発に特化した脆弱性(XSSやSQL インジェクションなど)のチェックだけにすることをおすすめします
- 並列スキャンスレッド数の確認
並列にチェックするスレッドが多いと、開発環境が重くなってしまうので、確認を行います。メニューの「ツール」⇒「オプション」から以下の画面を開き、確認することができます。
- 攻撃する対象のサイトを表示します
- 攻撃対象のサイトを下記のようにcontextに追加します
- モードをATTACK modeに変更します
- ブラウザで脆弱性をチェックしたいページにアクセスをします
- アクセスをしたページに対して、OWASP ZAPがスキャンポリシーに従って脆弱性チェックを行います
下記の赤い部分が自動的に増えていきます
まとめ
ATTACK modeを利用すると、開発中に自動チェックで脆弱性を発見することができます。システムテストや受け入れテストというフェーズで見つかる脆弱性は少なくなると思います。
*1:チェックする脆弱性組み合わせの設定。XSSやSQLインジェクション、コマンドインジェクションなどの種別と強度を組み合わせて作成する。
