#owaspzap

[joelekm]

OWASP ZAP Active Scan | CyberSecurityTV

Dive into the world of web application security with OWASP ZAP Active Scan on CyberSecurityTV! 🛡️🔍 In this episode, we unravel the power of OWASP ZAP's active scanning capabilities for identifying vulnerabilities and weaknesses in web applications. Join us as we explore step-by-step how to effectively configure and run ZAP's active scans, ensuring your applications are safeguarded against potential threats. Whether you're a developer, security professional, or simply curious about web app security, this episode provides valuable insights into using OWASP ZAP as a proactive defense tool. Tune in now to bolster your cybersecurity arsenal! 💻🔒

[joelekm]

ZAP Active Scan | CyberSecurityTV

Explore the power of ZAP Active Scan on CyberSecurityTV! 🛡️🔍 In this episode, we dive into the world of web application security testing using OWASP ZAP's active scanning capabilities. Learn how to identify vulnerabilities and weaknesses in your web applications through comprehensive scanning techniques. Our experts will guide you through the process, explaining how ZAP's features can help enhance your security posture. Whether you're a developer or a cybersecurity enthusiast, this episode will provide valuable insights into effectively using ZAP for proactive security testing. Tune in now to bolster your web application defense strategy! 💻🔒

[frentmeister]

Mobile security und Owasp Zap - Testing Guidelines für Android und IOS

Immer wieder ein sehr interessantes Thema. Gerade das Thema mobile security bietet immer noch Stoff für viele Fragen, teilweise, weil entsprechend auch wenig Informationen fehlen. Aber auch hier bietet Owasp Zap eine entsprechende Lösung an. Basierend zu diesem Thema möchte ich auch noch das Thema mobile security Template anfügen welches durch OWASP selbst auch vertrieben wird. https://youtu.be/KWofjrHNNqs Für interessiert bietet Owasp entsprechend eben ein mobile security testing Guide, der alle Aspekte abdeckt, von der allgemeinen Planung über das Setup, und auch das Tooling.   Anbei die Informationen aus dem Testing Guide von Owasp.

Table-of-Contents

Introduction - Foreword - Frontispiece - Introduction to the Mobile Security Testing Guide - Mobile App Taxonomy - Mobile App Security Testing General Testing Guide - Mobile App Authentication Architectures - Testing Network Communication - Cryptography in Mobile Apps - Testing Code Quality - Tampering and Reverse Engineering - Testing User Privacy Protection Android Testing Guide - Platform Overview - Android Basic Security Testing - Data Storage on Android - Android Cryptographic APIs - Local Authentication on Android - Android Network APIs - Android Platform APIs - Code Quality and Build Settings for Android Apps - Tampering and Reverse Engineering on Android - Android Anti-Reversing Defenses iOS Testing Guide - Platform Overview - iOS Basic Security Testing - Data Storage on iOS - iOS Cryptographic APIs - Local Authentication on iOS - iOS Network APIs - iOS Platform APIs - Code Quality and Build Settings for iOS Apps - Tampering and Reverse Engineering on iOS - iOS Anti-Reversing Defenses Appendix - Testing Tools - Suggested Reading    

Hier eine kurze grafische Übersicht was das mobile security Test Template an Informationen bietet. Wie man unteranderem Android Geräte auf Sicherheitslücken testet, wird in diesem Beispiel hier gut beschrieben. https://youtu.be/tdjpgsL48Pw Wie man security Test auf IOS durchführt ist in diesem Beispiel gut erklärt. https://youtu.be/xOyViT8ekfU     Read the full article

[frentmeister]

Wie man Sicherheitstests für AngularJS mit Hilfe von OWASP ZAP durchführt

Neben vielen anderen Test kann man natürlich auch AngularJS auf Sicherheits- und Schwachstellen testen. AngularJS macht viel Gebrauch von JavaScript, was die 'traditionelle' Spider nicht gut verarbeiten kann. https://www.youtube.com/watch?v=mz2nhYpU-sw Verwendet deshalb innerhalb von OWASP ZAP stattdessen die Ajax-Spider: https://github.com/zaproxy/zap-core-help/wiki/HelpAddonsSpiderAjaxConcepts Diese ist zwar langsamer, kommt aber mit jedem JS zurecht, während die Ajax Spider den Browser startet, um die Website zu crawlen. ZAP führt ein Spidering von der Basis-URL aus durch, die müssen von euch festgelegt werden. Wie das im Einzelnen aussehen kann könnt ihr in diesem Beispielvideo sehen. https://www.youtube.com/watch?v=EwbPPPBhM4A   Dies ist auch eine praktische Möglichkeit, ZAP über Docker zum Laufen zu bringen. Ich selbst nutzte Owasp Zap als Docker Integration auf meinem Microserver. https://github.com/zaproxy/zaproxy/wiki/Docker https://www.youtube.com/watch?v=B-MDsECikqM         Read the full article

[frentmeister]

Payload basierter Schwachstellentest mit Jmeter und Owasp ZAP

Die Frage aller Fragen: "Kann ich überhaupt Jmeter und Owasp Zap kombinieren ?" JMeter kann als Proxy konfiguriert werden, um alle ZAP-Anfragen zu speichern und dann können ihr denselben OWASP-Test nach einer Korrektur oder Änderung erneut an dieselbe oder eine andere Umgebung senden. Grundsätzlich müsst ihr JMeter so konfigurieren, dass alle Anfragen über den ZAP Intercepting Proxy gesendet werden. Standardmäßig läuft ZAP auf demselben Host unter Verwendung von Port 8080, so dass ihr  JMeter entweder wie folgt ausführen müsst: jmeter -H localhost -P 8000 -n -t test.jmx -l result.jtl Alternativ können ihr die gleichen Einstellungen auch über die Java Networking Properties vornehmen: jmeter -Dhttp.proxyHost=localhost -Dhttp.proxyPort=8080 -Dhttps.proxyHost=localhost -Dhttps.proxyPort=8080 -n -t test.jmx -l result.jtl https://www.youtube.com/watch?v=zCBnB0CKZE4 Und schließlich können ihr die folgenden Zeilen zur Datei system.properties hinzufügen (befindet sich im Ordner "bin" eurer JMeter-Installation) http.proxyHost=localhost http.proxyPort=8080 https.proxyHost=localhost https.proxyPort=8080 Ein Neustart von JMeter ist erforderlich, um die Eigenschaften zu übernehmen.     Read the full article

[frentmeister]

Security Testing mit Owasp ZAP

OWASP ZAP (kurz für Zed Attack Proxy) ist ein Open-Source-Sicherheitsscanner für Webanwendungen. Er ist sowohl für Neueinsteiger in die Anwendungssicherheit als auch für professionelle Penetrationstester gedacht. Ich nutzte OWASP Zap in diversen Projekten, u.a. Magento und Salesforce Projekten um eben Schwachstellen Test auszuspüren. Durch seine starke Erweiterbarkeit über Skripte und Plugins kann man mit OWASP ZAP ein sehr nützliches Toolsetting aufbauen, welches eben auch recht einfach in eine Continuous Integration Umgebung eingebunden werden kann. https://www.youtube.com/watch?v=o_JZRgQMF4Q OWASP Zap bietet eine direkte Integration in Jenkins an, und kann so tägliche oder wöchentliche Scans eurer Projekte vornehmen, samt eines sehr ausführlichen Reporting. Dies hebt OWASP Zap hervor gegenüber käuflichen Softwarelösungen, wo man dann erst im Premium Modus eine Integration in einen CI Workflow erhält. Ich hatte in anderen Projekten unteranderem Acunetix  genutzt, dies bot aber eine entsprechende Einbindung erst ab einem Premium Modus an (Stand 2016). OWASP Zap lässt sich nicht nur mit eigenen Skripten stark erweitern, sondern man kann durch das Community Addon Community Skripte nutzen. https://www.youtube.com/watch?v=3vVnMh6AUkk Gerade Read the full article

[siberguvenlikwebtr]

OWASP ZAP ile Web Sitelerinde Zafiyet Tespiti

OWASP ZAP ile web sitelerinde zafiyet tespiti OWASP ZAP, Kali ile gelen ve web zafiyetlerini otomatik olarak tespit eden açık kaynak kodlu bir web güvenlik tarayıcısıdır. Proxy sunucu olarak kullanılabilir ve bu sayede https trafiği de dahil olmak üzere aracın içinden geçen tüm trafik değiştirilebilir. Programı çalıştırmak için Aplications-Web Aplication Analysis-owasp-zap yolunu izliyoruz. Eğer kurulu değilse apt install zaproxy komutu ile kurabilirsiniz. Programı çalıştırdığımızda karşımıza bir lisans anlaşması gelecek, Accept düğmesine tıklayarak geçiyoruz. Ardından açılan pencerede ilk seçeneğe onay koyup Start düğmesine tıklıyoruz. Şimdi de programı güncelleyelim. Bunun için help menüsünden Check for updates seçeneğine tıklıyoruz. Yeni açılan pencerede güncelleme yapılacak seçeneklere onay koyup Update All düğmesine tıklıyoruz. Güncellemeler bitince programı kullanmaya başlayabiliriz. Metasploitable Linux’da Mutillidae isimli OWASP Top 10 zafiyetleri içinde barındıran bir web uygulaması bulunur. Bunun üzerinde zafiyet tespitlerimizi yapacağız. Owasp-zap programında Mutillidae adresini yazıp Attack düğmesine tıklayalım. Önce Spider sonra da Active Scan sekmesinde tarama işlemini görebiliriz. Tarama işlemi bitince Alert sekmesinde bulunan zafiyetleri görebiliriz. Şimdi de Mutillidae üzerinde sql injection nasıl yapılır görelim. Read the full article