shikata ga nai

Private? There is no such things.

OWASP ZAP HUDの使い方についてまとめてみた

Hello there, ('ω')ノ

 

以前に一度だけHUDについては触れていましたが、ずっと気になっていたので。

ZAPのメニューの右上にHUDのボタンが追加されているので有効にして。

ブラウザは、横にあるFireFoxボタンで起動しないとうまく機能しなくて。

 

f:id:ThisIsOne:20200820134854p:plain

 

下記のBodgeitにアクセスしてみると。

 https://192.168.1.93/bodgeit/

 

ブラウザの左右にコントロールがあって、下部には情報エリアが。

左にあるアラートをクリックしてみると。

 

f:id:ThisIsOne:20200820135302p:plain


詳細情報を参照することができて。

 

f:id:ThisIsOne:20200820135404p:plain

 

詳細情報のURLをクリックすると。

 

f:id:ThisIsOne:20200820135733p:plain

 

リクエストとレスポンスの内容が確認できて。

 

f:id:ThisIsOne:20200820135819p:plain

 

右側のコントロールは、サイト全体を表示するようで。

 

f:id:ThisIsOne:20200820140644p:plain

 

下記のページに移動して、左側のShow/Enableボタンを押すと。

 

f:id:ThisIsOne:20200820141110p:plain

 

隠れていた要素が表示され。

 

f:id:ThisIsOne:20200820141202p:plain

 

さらに下記のページに移動して、Productを選んで。

 

f:id:ThisIsOne:20200820141424p:plain

 

左側のボタンでBreak Onにして、Add to Basketボタンをおすと 。

 

f:id:ThisIsOne:20200820141655p:plain

 

インターセプトされるのでパラメータを変更して進めると。

 

f:id:ThisIsOne:20200820142039p:plain

 

Quantityに反映されて。

また、右側のSpider Startボタンでクロールすることができて。

 

f:id:ThisIsOne:20200820142241p:plain

 

クロールが始まると画面右下にアラートが表示されて。

 

f:id:ThisIsOne:20200820142454p:plain

 

右側のSites Tree Sitesボタンを押すと。

 

f:id:ThisIsOne:20200820142747p:plain

 

サイトツリーが表示され。

 

f:id:ThisIsOne:20200820142702p:plain

 

 

次にSearchメニューに移動して、Searchボタンのみを押して。

下部のHistoryから該当する履歴行をクリックすると。

 

f:id:ThisIsOne:20200820153052p:plain

 

History経由でもリクエストとレスポンスの内容が確認できて。

そこで、今回はActive Scanをすることに。

 

f:id:ThisIsOne:20200820153147p:plain

 

次に右側のボタンからアラート内容を確認することに。

 

f:id:ThisIsOne:20200820153411p:plain

 

どうもHUDは重たいようで、たまに表示されるのに10秒ほど時間がかかったりと。

表示されたらリンクをクリックして。

 

f:id:ThisIsOne:20200820153542p:plain

 

ここではURLをクリックして。

 

f:id:ThisIsOne:20200820153812p:plain

 

Replay in Browserを押すと。

 

f:id:ThisIsOne:20200820153905p:plain

 

脆弱性が再現できて。

 

f:id:ThisIsOne:20200820153931p:plain

 

さらに再度、Searchメニューへ戻ると。

問題箇所がハイライトされて。

ここをクリックすることで。

 

f:id:ThisIsOne:20200820154114p:plain

 

該当する先ほどのアラートの内容が確認できて。

 

f:id:ThisIsOne:20200820154237p:plain

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain