ZAP (Zed Attack Proxy)

Что такое ZAP

ZAP (Zed Attack Proxy) — бесплатный инструмент с открытым исходным кодом для проверки безопасности веб-приложений. Его ведёт независимая команда ZAP Core Team; проект называют «ZAP by Checkmarx», потому что трое участников основной команды работают над ним как сотрудники компании Checkmarx. В сентябре 2023 года команда вывела ZAP из OWASP, чтобы получить финансирование, поэтому название «OWASP ZAP» сами разработчики считают признаком устаревшего источника. Код распространяется по лицензии Apache-2.0.

Как он работает

В основе ZAP — прокси, который встаёт между браузером тестировщика и веб-приложением: перехватывает и показывает запросы и ответы, позволяет их менять и пересылать дальше. Запускать его можно как обычное приложение с интерфейсом или как фоновый процесс.

• Пауки — традиционный разбирает ссылки в HTML, Client spider обходит современные приложения через браузер; AJAX Spider, по словам разработчиков, менее эффективен, чем Client spider
• Пассивное сканирование — проверяет весь проходящий трафик, ничего не меняя в ответах; разработчики считают его безопасным
• Активное сканирование — атакует найденные страницы, функции и параметры известными приёмами
• Автоматическое сканирование — на вкладке Quick Start достаточно указать адрес: ZAP сам обойдёт сайт, проверит его пассивно, а затем активно
• Heads Up Display — панель функций ZAP прямо в браузере поверх тестируемого сайта

Важное предупреждение

Разработчики прямо пишут: активное сканирование — это настоящая атака, которая может повредить функциональность сайта и данные, поэтому его можно запускать только против приложений, на проверку которых есть разрешение. Для осторожной работы есть безопасный режим, в котором возможности ZAP заметно урезаны. И ещё одно ограничение автоматического скана: страницы за формой входа без настройки аутентификации ZAP не увидит.

Автоматизация и расширения

У ZAP есть API и командная строка, а для конвейеров CI — Docker-образы: стабильный, минимальный bare, еженедельный и ночной, в GitHub Container Registry и Docker Hub. Дополнительные возможности ставятся из встроенного ZAP Marketplace, где лежат дополнения от сообщества.

Установка

Текущая версия — 2.17.0: установщики для Windows, Linux и macOS (Intel и Apple Silicon), кросс-платформенный пакет и облегчённый Core-пакет. Версиям для Windows и Linux нужна Java 17 или новее, сборка для macOS уже содержит Java 17. Разработчики предупреждают, что релизы пока не подписаны, поэтому браузеры, антивирусы и сами Windows и macOS могут показать предупреждение при загрузке и запуске.