ZAPROXY - ZED ATTACK PROXY: herramienta de auditoría activa

Saludos hermanos de underc0de en esta oportunidad les traigo la herramienta llamada "Zaproxy" (Zed Attack Proxy), esta programada en Java la cual el año 2013 gano el top de la mejor herramienta de auditorias difundida por la grande organización de seguridad a nivel mundial OWASP.
Algunos la han llamado la hermana menor de BurpSuite : )

En esta oportunidad haré este POST en Windows, antes de aclarar zaproxy se encuentra en Kali Linux para los que deseen probarla.


Características:

Interceptacion Proxy 
Spiders tradicionales y AJAX
Escáner automatizado
Escáner pasivo
Navegación forzada
Fuzzer
Certificados SSL dinámicos
Soporte de tarjetas inteligentes y certificados digitales de clientes
Apoyo tomas Web
Soporte para una amplia gama de lenguajes de script
Plug-n-Hack apoyo
El soporte de autenticación y la sesión
Potente API basada en REST
Opción Automático actualización
Integrado y creciente mercado de los complementos

DESCARGA:
No tienes permitido ver enlaces. Registrate o Entra a tu cuenta


La instalación la vamos a omitir porque es demasiado fácil, por ende cualquiera puede hacerlo sin ningún problema, deben tener Java instalado en su equipo para poder correr la herramienta.

Interactuando con la plataforma:


como vemos la estructura es muy detallada y va de la mano con las personas que son nuevas en experimentar la herramienta, que de por si es demasiada sencilla para todos.
como observamos en una pequeña pantalla donde nos da un mensaje de bienvenida a la herramienta nos aparece el formulario "URL a atacar", con la cual añadiremos nuestro servidor para hacer la prueba de auditoria.


Es demasiado sencillo como se los explique al momento de añadir la url le darán en atacar y automáticamente empezara el escaneo primario con el "Spider", el capturar de módulos y archivos.


Algo bueno del primer escaneo es que nos dará la lista en general del servidor con la cual nosotros mismos podemos analizar y obtener datos que quizás un escaner no pueda capturar porque a todos nos a pasado en algunas de nuestras auditorias.

Pasaremos al segundo escaneo, la cual es 100% ofensivo porque ejecutara payloads en todos los parámetros para comprobar  si son vulnerables y empezara a capturarlos en la pestaña "Alertas", cabe aclarar que el escaneo se ejecuta automáticamente cuando termina por si solo es escaneo primario de igual manera si lo cancelas.


Como bien lo dije hace momentos este segundo escaneo activo, lo que hace es añadir payloads en cada sector del servidor web en busca de un análisis positivo con un vector de ataque que lo confirmara si es vulnerable o no, con la cual nuestros resultados se irán generando en la sesión "Alertas". la cual se van a definir en una lista por categorías de Errores, en mi caso el primero en la lista son los conocidos XSS


Ahora encontramos algo mas que un simple escaneo, la cual al darle 2 clicks a nuestro enlace vulnerable en la sesión de las alertas nos parecen la ventada con la información detallada de dicha vulnerabilidad con su respectivo payload probado, de igual manera pueden añadir el suyo sin ningún problema pero haré esta prueba con el payload que ofrece zaproxy para comprobar su eficacia.


Comprobando el payload en mi caso lo haré con el navegador Mantra


Nuestro objetivo es vulnerable a un XSS, pero vamos a ver las otras vulnerabilidades que hemos encontrado, como la vulnerabilidad de  inyección SQL


De igual manera vamos a comprobar la vulnerabilidad en el navegador

You have an error in your SQL syntax; check the manual that corresponds to your MySQL server version for the right syntax to use near '1' ORDER BY sort' at line 1SELECT * FROM biblioteca WHERE id='17'' AND estado='1'  ORDER BY sort 

sqlmap.py -u http://www.ejemplodepagina.com.pe/portal/index.php?id=17 --tamper="space2comment,charencode.py" -v 3 --random-agent --dbs --timeout=10 --no-cast

En mi caso tuve que utilizar tamper para que mi objetivo sea testeado sin ser bloqueado por el Firewall, si deseas aprender como bypassearlo lo invito al siguiente POST:

No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

de igual manera podemos interactuar con las demás listas.


Pero bueno espero les haya gustado el articulo, agradecer no cuesta nada.
Saludos!

Acotando se tiene este Ebook en base a una serie de entradas realizadas, para el que quiera ir mas alla de esta herramienta que es la hermana por decirlo asi de BurpSuite entre las dos con Licencia BurpSuite herramienta sin licencia ZAP.



No tienes permitido ver enlaces. Registrate o Entra a tu cuenta

Buena entrada he!

Regards,
Snifer

Buen aporte compañero, saludos y éxitos hermano 

 Snifer esta genial tu libro