ZAP

Czym jest ZAP?

ZAP to narzędzie bezpieczeństwa i prywatności dla komputerów stacjonarnych do testowania aplikacji internetowych. Pomaga programistom, testerom i zespołom bezpieczeństwa analizować ruch HTTP i HTTPS, przeszukiwać witryny, odtwarzać żądania oraz identyfikować typowe problemy bezpieczeństwa aplikacji internetowych podczas prac rozwojowych lub oceny. Aplikacja zawiera przechwytujący serwer proxy, narzędzia do testów automatycznych i ręcznych, obsługę sesji, raportowanie oraz rozszerzalny model dodatków do wyspecjalizowanych przepływów pracy. W systemie macOS działa jak standardowa aplikacja i może być także uruchamiana z wiersza poleceń do użycia w skryptach lub bez interfejsu graficznego. ZAP jest publikowany przez projekt ZAP i jest szeroko wykorzystywany w procesach bezpieczeństwa aplikacji do testów lokalnych, nauki i ciągłych kontroli bezpieczeństwa.

Kluczowe cechy

• Przechwytywanie i analizowanie ruchu internetowego między przeglądarką a aplikacją docelową
• Przeszukiwanie i eksplorowanie witryn w celu wykrywania stron, punktów końcowych i parametrów
• Uruchamianie automatycznych skanów w celu wykrywania typowych podatności aplikacji internetowych
• Odtwarzanie, edytowanie i ponowne wysyłanie żądań do testów ręcznych i rozwiązywania problemów
• Generowanie raportów i przeglądanie ustaleń z sesji testowych
• Rozszerzanie narzędzia za pomocą dodatków do wyspecjalizowanych zadań skanowania i testowania

Przegląd bezpieczeństwa

Status: Używaj ostrożnie

ZAP jest legalnym oprogramowaniem do testowania bezpieczeństwa, ale zostało zaprojektowane do przechwytywania i modyfikowania ruchu internetowego oraz może aktywnie badać witryny pod kątem słabości. Taki dostęp jest normalny dla jego przeznaczenia, ale oznacza też, że skanowanie lub używanie serwera proxy może wpływać na środowiska testowe, generować duży ruch lub ujawniać w aplikacji wrażliwe dane sesji, jeśli używasz go na prawdziwych kontach. W systemie macOS możesz także zobaczyć ostrzeżenie, że aplikacja pochodzi od niezweryfikowanego dewelopera podczas jej otwierania. Używaj go wyłącznie w odniesieniu do systemów, które posiadasz lub do których testowania masz upoważnienie, i unikaj wczytywania kont osobistych lub produkcyjnych, chyba że jest to część zatwierdzonej pracy.

Zalecenie: Zachowaj ZAP, jeśli używasz go do testowania bezpieczeństwa aplikacji internetowych, bezpiecznego tworzenia oprogramowania lub nauki bezpieczeństwa aplikacji. Jeśli nie korzystasz z narzędzi do testów penetracyjnych, możesz usunąć go jak każdą inną aplikację. Przed uruchomieniem aktywnych skanów kieruj go tylko na zatwierdzone cele i w miarę możliwości używaj oddzielnego konta testowego.

Typowe ścieżki

• /Applications/ZAP.app

Powiązane aplikacje

• Burp Suite
• Postman
• Wireshark

Podziel się doświadczeniem

Bądź pierwszy, który podzieli się doświadczeniem.