[웹해킹] OWASP ZAP 활용_1

1. OWASP ZAP

OWASP ZAP (short for Zed Attack Proxy) is an open-source web application security scanner.

OWASP의 웹 취약점 진단 스캐너이다.

- VS Burp Suite

 

Burp Suite와 OWASP ZAP (Zed Attack Proxy)는 웹 애플리케이션의 보안을 평가하는 도구이다.

OWASP ZAP은 OWASP의 무료 웹 애플리케이션 보안 스캐너이다.

Burp Suite는 애플리케이션 보안 스캐너보다 프록시 도구로 가장 많이 사용된다

 

2021.05.07 - [정보 보안/웹 해킹] - [웹해킹] Burp Suite VS OWASP ZAP_취약점 스캐너 도구 비교

[웹해킹] Burp Suite VS OWASP ZAP_취약점 스캐너 도구 비교

2. 활용법

 

1) 칼리 리눅스 터미널 > owasp-zap

 

OWASP ZAP 초기 설정

 

업데이트 설치

- Attack 종류

① Passive scanner = Passive attack = 수동적 : 의도하지 않았는데 발견하게 되는 경우

② Active scanner = Active attack = 공격적 : 직접 확인하는 경우 -> 불법일 경우가 多

 

 

 

2) 비박스 ip 활용

 

프록시 설정 ( 파이어폭스 )

 

3) Spider 기능

 

Spider ≒ Crawl

Crawl 기능 : 검색 서비스이며, 디렉토리를 탐색하는 기능이다.

비인증 페이지를 접근하는 것이 목적이다.

 

 

크롤링과 비교되는 강제검색도 가능하다.

강제 검색

강제검색 : dictionary file 모두 점검 (100% 불법), 전수검사, 디렉토리 검사 -> 모니터링 

VS

크롤링 : 공개된 파일만 점검