Pen Testing İçin Neden ZAP Kullanılmalı?
Güvenli bir web uygulaması geliştirmek için nasıl saldırıya uğrayacağınızı bilmek gerekir. Burada, web uygulaması güvenliği veya Sızma Testi gereksinimi ortaya çıkıyor. Güvenlik amacıyla şirketler ücretli araçlar kullanır, ancak OWASP ZAP, kolaylaştıran harika bir açık kaynaklı alternatiftir
OWASP ZAP Nedir?
Sızma testi, bir saldırgandan önce güvenlik açıklarının bulunmasına yardımcı olur. OSWAP ZAP, açık kaynaklı ücretsiz bir araçtır ve sızma testleri yapmak için kullanılır. Zap'ın temel amacı, web uygulamalarındaki güvenlik açıklarını bulmak için sızma testi yapılmasına izin vermektir.
ZAP avantajları:
Tüm işletim sistemlerinde çalışır (Linux, Mac, Windows)
Zap yeniden kullanılabilir
Rapor oluşturabilir
Yeni başlayanlar için ideal
Ücretsiz bir araç
ZAP Nasıl Çalışır?
ZAP bir proxy sunucusu oluşturur ve web sitesi trafiğinin sunucudan geçmesini sağlar. ZAP'ta otomatik tarayıcıların kullanılması, web sitesindeki güvenlik açıklarının engellenmesine yardımcı olur.
ZAP Terminolojileri
-1 Session: Session, saldırı alanını belirlemek için web sitesinde gezinmek anlamına gelir. Bu amaçla, proxy ayarları değiştirilerek Mozilla Firefox gibi herhangi bir tarayıcı kullanılabilir. Ya da zap oturumunu .session olarak kaydedip tekrar kullanılabilir hale getirebiliriz.
-2 Context: Bir web uygulaması veya bir dizi URL'nin birlikte olduğu anlamına gelir. ZAP'ta oluşturulan Context, çok fazla veriden kaçınmak için belirtilene saldırır ve gerisini yok sayar.
-3 ZAP Saldırısı Türleri: URL'ye basarak ve tarayarak farklı ZAP saldırı türlerini kullanarak bir güvenlik açığı raporu oluşturabilirsiniz.
Aktive Scan: Zap kullanarak bir çok şekilde Aktif tarama yapabiliriz. İlk seçenek, ZAP aracının karşılama sayfasında bulunan Quick Start'tır.
Quick Start ZAP'ı kullanmaya başlamanın en hızlı yolunu göstermektedir. URL'yi Quick Start sekmesinin altına girin, Attcak düğmesine basın ve ardından ilerleme başlaıyacaktır. Quick Start, belirtilen URL'de örümcek çalıştırır ve ardından etkin tarayıcıyı açar. Belirtilen URL'den başlayarak tüm sayfalarda bir örümcek gibi gezinir. Daha kesin olmak gerekirse, Hızlı Başlangıç sayfası "point and shoot" gibidir.
Burada, hedef URL'yi ayarladıktan sonra saldırı başlar. İlerleme durumunu ve içeriği keşfetmek için URL'yi örerken görebilirsiniz. Çok fazla zaman alıyorsa, saldırıyı manuel olarak durdurabiliriz.
Saldırı ilerlemesi, Quick Start Sekmesinde görüntülenecektir. Ve Spider sekmesi, saldırı senaryolarıyla birlikte URL liste'sini gösterecektir. Aktif tarama tamamlandığında, sonuçlar Alert sekmesinde görüntülenecektir.
Net bir anlayış için lütfen aşağıdaki Aktif Tarama 1 ve Aktif Tarama 2 ekran görüntüsünü kontrol edin.
AKTİF TARAMA 1
AKTİF TARAMA 2
-4) Spider: Spider, web sitesindeki URL'yi tanımlar, köprüleri kontrol eder ve listeye ekler.
-5) Ajax Spider: Uygulamamızın JavaScript'i yoğun olarak kullanması durumunda, uygulamayı keşfetmek için AJAX spider'a gidin.
-6) Alert: Web sitesi güvenlik açıkları yüksek, orta ve düşük uyarılar olarak işaretlenir.
ZAP Kimlik Doğrulaması, Oturum ve Kullanıcı Yönetimi
Kimlik doğrulama, oturum ve kullanıcı yönetimini ele alan başka bir Zap özelliğine geçelim
Temel konseptler:
Context: Bir web uygulamasını veya bir dizi URL'yi birlikte temsil eder. Belirli bir Context için, kimlik doğrulama ve oturum yönetimi sürecini özelleştirmek ve yapılandırmak için yeni sekmeler eklenir. Seçenekler, oturum özellikleri > iletişim kutusunda mevcuttur, yani Oturum özellikleri iletişim kutusunda -> Context-> varsayılan seçeneği kullanabilir veya yeni bir Context adı ekleyebilirsiniz.
-----------------
Oturum Yönetimi Yöntemi: 2 tür oturum yönetim yöntemi vardır. Çoğunlukla, Context ile ilişkili çerez tabanlı oturum yönetimi kullanılır.
Kimlik Doğrulama Yöntemi: ZAP tarafından kullanılan başlıca 3 tür Yetkilendirme yöntemi vardır:
Form tabanlı Kimlik Doğrulama yöntemi
Manuel Kimlik Doğrulama
HTTP Kimlik Doğrulaması
-----------------
Kullanıcı yönetimi: Kimlik doğrulama şeması yapılandırıldıktan sonra, her Context için bir dizi kullanıcı tanımlanabilir. Bu kullanıcılar çeşitli eylemler için kullanılır.
Yeniden kimlik doğrulama gerçekleştiren eski kimlik doğrulama uzantısının yerine bir forced user (Zorunlu Kullanıcı) uzantısı uygulandı. artık bir 'Zorunlu Kullanıcı' modu mevcuttur (eski kimlik doğrulama uzantısıyla aynı simgededir).
Belirli bir Context için bir kullanıcıyı 'Zorunlu Kullanıcı' olarak ayarladıktan sonra veya etkinleştirildiğinde, ZAP aracılığıyla gönderilen her istek, bu kullanıcı için gönderilecek şekilde otomatik olarak değiştirilir. Bu mod aynı zamanda otomatik olarak yeniden kimlik doğrulama gerçekleştirir (özellikle Form Tabanlı Kimlik Doğrulama ile bağlantılı olarak), kimlik doğrulama eksikliği varsa, 'oturum kapatılmış' algılanır.
***
OKUĞUNUZ İÇİN TEŞEKKÜRLER
