Hello there,
OWASP ZAPでローカルプロキシを設定して。
プロキシを経由して、Webサイトにアクセスするには。
『Tools』⇨『Options』を選択して。
『Local Proxies』メニューで、Burp Suiteと同じように設定して。
また、起動時は『標準モード』となっており。
『Automated Scan』を選択すると。
『Quick Start』タブで『Attack』ボタンが実行可能状態であって。
ちなみに『攻撃モード』を選択すると警告がでるので一安心。
なので、誤動作で他のサイトを攻撃しないためにも。
『プロテクトモード』がおすすめなわけで。
『セーフモード』だと脆弱性診断の処理はできないようで。
また、安全なウェブサイトの作り方を参考にすると。
https://www.ipa.go.jp/files/000017316.pdf
下記のような赤文字の脆弱性診断は、OWASP ZAPでは難しいようで。
１） SQL インジェクション
２） OS コマンド・インジェクション
３） パス名パラメータの未チェック／ディレクトリ・トラバーサル
４） セッション管理の不備
５） クロスサイト・スクリプティング
６） CSRF（クロスサイト・リクエスト・フォージェリ）
７） HTTP ヘッダ・インジェクション
８） メールヘッダ・インジェクション
９） クリックジャッキング
１０） バッファオーバーフロー
１１） アクセス制御や認可制御の欠落
かといって、自動で診断を行ってくれるから何もしなくてよいのではなく。
誤診もあるので、診断後は手動での確認も必要なので。
やはり、しっかりと手動での診断スキルは必要ではないかと。
best regards,
