OWASP Meeting - 7th Local Chapter Meeting 「OWASP ZAPをぶん回せ！〜 活用マニュアル作ってみました」 で使用したPPTです（ちょっと改変あり） 実際には、プレゼン機でZAPを動かすデモがメインでしたので、 PPTを見ても参考にならないかもしれません。

1. OWASP Zed Attack Proxyをぶん回せ
～活用マニュアルも作ってみました～
境 稔,亀田 勇歩

2. SCSK株式会社
ITマネジメント事業部門
基盤インテグレーション事業本部
グローバルセキュリティソリューション部
サイバーセキュリティソリューション課
境 稔
亀田 勇歩
普段やっている事
❯ 脆弱性診断
❯ 診断トレーニング
❯ SOC・CSIRT運用
2
自己紹介

3. 3
Zed Attack Proxyって？

4. The Zed Attack Proxy (ZAP) is an easy to use integrated
penetration testing tool for finding vulnerabilities in
web applications.
Webアプリケーションの脆弱性を検出する為の統合侵
入テスト？ツール
4
OWASP ZAPとは
不完全だが、日本語対応！

5. 5
ZAPの使い方 Easy to use
URLを入力し、[攻撃]ボタンを押すだけ！

6. 6
Challenge
遷移が複雑で、リンクを追うだけでは辿り着けな
いコンテンツが存在する
検査パケットを投げてほしくないページがある
特定のページのみ検査すればよい

7. ZAPはローカル・プロキシとして動作します。経由させたリクエストやレスポンスはＺＡＰが管理しており、スキャン
時に利用します。自動診断だけでなく、手動診断の補助ツールとしても使用できます。
7
ZAP Over View
②ZAPを経由させた
リクエストA+
③A+に対する
レスポンスX
④ZAPを経由した
レスポンスX+
①Webブラウザでアク
セスしたリクエストA
・リクエストやレスポンスの履歴を持って
いる。
・履歴のリクエストを解析し、スキャンの
実行をする。
Webブラウザ
ＺＡＰ
サーバー

8. ZAPはローカル・プロキシとして動作します。
ブラウザの接続設定を変更する必要あり！
8
ZAP Over View

9. 9
ZAP Ver.1.X
V1時代のスクリーンショット
・日本語対応していない！
・メニューは案外すっきり？
・QuickStartが無い

10. 10
ZAP Ver.2.1新機能

11. 11
ZAP Ver.2.1 －モード選択
三種類のモードを選択し、危険な操作(検
査パケットの送出)を抑制します。
▼Safe mode
危険な操作は実行出来ません。
▼ Protected mode
Context内のみ、すべての操作が実行
可能です。
▼ Standard mode
すべての操作が実行可能です。

12. 12
ZAP Ver.2.1 －ToolBer
1. モード選択
2. 新規セッション
3. セッションを開く
4. 名前をつけてセッションを保存
5. Snapshot Session
6. セッションのプロパティ
7. オプション
8. サイトタブを広げる
9. インフォメーションタブを広げる
10. Request and Response tabs side by side
11. Request Shown above Response
12. Request and Response panels side by side
13. (Unset) Show / enable fields
14. 全リクエストのブレークポイントセット/解除
15. 全レスポンスのブレークポイントセット/解除
16. サブミットして次のリクエストかレスポンスに
移動
17. サブミットして次のブレークポイントへ移動
18. リクエストまたはレスポンスを削除
19. Manage Add-ons
20. Enable / disable automatic re-
authentication

13. 13
ZAP Ver.2.1 －AjaxSpider
AjaxSpiderを使う前に、
まずは、設定。
オープンするブラウザ
の数、動作するスレ
ッドの数などを設定
します。
注：現在のバージョンは
AjaxSpiderの設定が保存さ
れない不具合あり！ 起動
するたびに要再設定（T_T

14. 14
ZAP Ver.2.1 －AjaxSpider
設定が終わったら、
起点となるリクエ
ストを選択し、右
クリックメニューか
らStart!

15. 15
ZAP Ver.2.1 －AddOn

16. 16
ZAP Ver.2.1 －AddOn
Ｖ
V2になり、今までオールイ
ンワンパッケージだった機
能が、Add-onに。
必要な機能だけをインス
トールすることが可能に。

17. 17
ZAP Ver.2.1 －AddOn
ベータ版、アルファ版も入手可能。
ただし、使う際には細心の注意を！

18. 18
ZAP マニュアル 公開準備中
Comming soon!

19. 19
ZAP マニュアル 公開準備中
Comming soon!

20. ご清聴、ありがとうございました。
20