Добавление аутентификации в инструменте ZAP для атаки на URL

Как передать данные аутентификации в инструмент ZAP для сканирования сайта. Пожалуйста, помогите мне решить проблему.

2 ответа

Довольно старый вопрос, но здесь он идет.

Самый простой способ сделать это - настроить ваш браузер на Proxy через ZAP. На Firefox вы можете перейти на:

Параметры -> Дополнительно -> Сеть -> Настройки.

Выберите "Ручная настройка прокси" и заполните HTTP-хост адресом машины, на которой запущен ZAP (скорее всего, localhost), и настроенным портом ZAP.

Вы можете проверить и настроить порт ZAP, открывая ZAP и получая доступ к:

Сервис -> Параметры -> Локальный прокси.

Затем откройте веб-браузер и войдите в свое приложение. Теперь перейдите к ZAP, на вкладке Сайты (слева от ZAP) выберите свой сайт, щелкните по нему правой кнопкой мыши и выберите:

Включить в контекст -> Контекст по умолчанию

Теперь откройте вкладку HTTP Sessions, щелкните правой кнопкой мыши по сеансу и выберите "Сделать активным". (Вкладка "Сеансы HTTP": "Просмотр" -> "Показать вкладку" -> "Сеансы HTTP")

Теперь вы можете выполнять ZAP Spider, Active Scan и т. Д. Во время сеанса. Если это не ваш сценарий, предоставьте больше информации о том, какой метод аутентификации использует ваше приложение.

Надеюсь, это все еще поможет вам или кому-то, кто ищет похожие вопросы. Спасибо,

Аутентификация через прокси ZAP

ZAP поддерживает несколько типов аутентификации, реализуемых веб-сайтами / веб-приложениями. Методы аутентификации в ZAP реализованы через контексты, которые определяют, как выполняется аутентификация. Аутентификация используется для создания сеансов, которые соответствуют аутентифицированным пользователям webapp.

Некоторые из методов аутентификации, реализованных OWASP ZAP:

  • Ручная аутентификация: этот метод позволяет пользователям выполнять аутентификацию вручную (например, аутентифицироваться в браузере во время прокси-сервера через ZAP).
  • Аутентификация HTTP/NTLM: этот метод используется для веб-сайтов / веб-приложений, где аутентификация выполняется с использованием механизмов аутентификации HTTP или NTLM с использованием заголовков сообщений HTTP. Поддерживаются три схемы аутентификации: базовая, дайджест и NTLM.
  • Аутентификация на основе форм: этот метод используется для веб-сайтов / веб-приложений, где аутентификация выполняется путем отправки формы или выполнения запроса GET на "URL-адрес входа" с использованием пары учетных данных аутентификации "имя пользователя / пароль".
  • Аутентификация на основе JSON: этот метод используется для веб-сайтов / веб-приложений, где аутентификация выполняется путем отправки объекта JSON на "URL-адрес входа" с использованием пары учетных данных аутентификации "имя пользователя / пароль".
  • Аутентификация на основе скриптов: этот метод полезен для веб-сайтов / веб-приложений, где аутентификация является более сложной, и некоторые пользовательские скрипты, обрабатывающие процесс аутентификации, полезны. Чтобы использовать этот метод, вы должны сначала определить сценарий аутентификации, который отправляет сообщения или выполняет другие действия, которые требуются вашему веб-приложению. Затем этот сценарий выбирается для использования в данном контексте и вызывается всякий раз, когда выполняется аутентификация.

Демонстрация

В качестве примера я продемонстрирую тест базовой аутентификации, реализованный HTTP/1.1 в соответствии с RFC 1945, используя URL-адрес https://jigsaw.w3.org/HTTP/Basic/


Шаги

Выполните следующие действия, чтобы реализовать базовую аутентификацию через ZAP:

  • Откройте ZAP и откройте браузер, например Firefox, щелкнув значок для открытия браузера, который вы выбрали на вкладке "Быстрый запуск", предварительно настроенной для прокси через ZAP.

  • Щелкните Тест базовой аутентификации (третья последняя ссылка на веб-странице), на которой появится всплывающее окно базовой аутентификации.
  • Введите учетные данные для входа:
    • Имя пользователя: гость
    • Пароль: гость
  • Теперь в инструменте ZAP на вкладке "История" найдите запрос GET по URL-адресу https://jigsaw.w3.org/HTTP/Basic/ и просмотрите ответ, подтверждающий базовую аутентификацию.
    • Снимок запроса:

  • Снимок ответа:

  • Теперь вам нужно создать контекст, чтобы включить его в контекст по умолчанию. Поэтому щелкните правой кнопкой мыши URL-адрес и выберите " Включить в контекст" в контекстном меню, а затем выберите " Контекст по умолчанию".

  • В меню "Управление сеансом" выберите " Управление сеансом аутентификации HTTP".

  • В меню "Аутентификация" выберите "Аутентификация HTTP/NTLM" и укажите имя хоста и порт.

  • В меню "Пользователь" добавьте учетные данные нужного пользователя.

  • Нажмите кнопку ОК, чтобы сохранить конфигурацию.
  • Наконец, вам нужно настроить ZAP на использование принудительного режима пользователя, включив его на панели ZAP.

  • Дважды щелкните контекст по умолчанию, выберите " Принудительный пользователь" и убедитесь, что установлен нужный пользователь.

  • Теперь выберите URL-адрес, щелкните правой кнопкой мыши, выберите Открыть URL-адрес в браузере и выберите Firefox.

  • Вы автоматически авторизуетесь через базовую аутентификацию через ZAP.

Старый вопрос, старый ответ, но вот хороший урок от одного из разработчиков ядра OWASP ZAP: https://www.youtube.com/watch?v=cR4gw-cPZOA

Быстрый ответ: это зависит от метода, используемого для аутентификации. Вы можете установить параметры в свойствах сеанса в меню "Аутентификация", а также можете определить разных пользователей в меню "Пользователи".

Другие вопросы по тегам