ZAP

ZAP（Zed Attack Proxy）は、ブラウザと Web アプリの間に入ってやり取りを記録し、脆弱性の手がかりを探すツールです。最初は練習用アプリの OWASP Juice Shop を自分のパソコンで動かし、それを相手に試すと安全です。

以前は「OWASP ZAP」と呼ばれていましたが、2023 年に OWASP を離れて Linux Foundation の Software Security Project に移りました。2024 年からは「ZAP by Checkmarx」という名前です。公式ブログによると、オープンソースのまま Apache License 2.0 で配布が続きます。

この記事は、Web アプリの開発者や、Web の脆弱性診断を学び始めた人に向けています。読み終えると、次のことができるようになります。

• 自分のパソコンで動かした Juice Shop に対して、自動スキャンを実行する
• 見つかったアラートを開き、どのリクエストとレスポンスが原因かを読む
• パッシブスキャンとアクティブスキャンの違いを理解し、相手に合わせて使い分ける

##ZAP でできること

• 通信の記録：ブラウザの通信を ZAP 経由にすると、リクエストとレスポンスがすべて残ります。
• スパイダー：リンクやフォームをたどって、サイト内のページを自動で集めます。
• パッシブスキャン：記録した通信を読むだけで問題を探します。公式ガイドは、レスポンスを一切変えないので安全だと説明しています。
• アクティブスキャン：既知の攻撃手法を使ったリクエストを送り、脆弱性を探します。
• Docker での自動実行：CI/CD に組み込めるスキャン用スクリプトが Docker イメージに入っています。

##アクティブスキャンは攻撃そのもの

公式ドキュメントは、アクティブスキャンを「対象への攻撃」と位置づけ、自分が所有していない Web アプリには使わないよう書いています。本物の攻撃と同じ形のリクエストを送るので、サイトの機能やデータが実際に壊れることがあります。この記事で影響範囲を「高」としているのは、このためです。

ZAP には 4 つのモードがあり、ツールバーで切り替えます。

公式は Protected モードを勧めています。狙ったサイト以外を誤って攻撃しないためです。

##安全な試し方：Juice Shop を相手にする

1. Juice Shop の記事の手順で、Juice Shop を自分のパソコンで起動します。http://localhost:3000 で開けることを確かめます。
2. 公式ダウンロードページから、使っている OS 用のインストーラーを入手します。Windows 版と Linux 版は Java 17 以上が別途必要です。macOS 版には Java が同梱されています。
3. ZAP を起動し、Quick Start タブを開いて Automated Scan を選びます。
4. URL to attack に http://localhost:3000 を入れ、Attack を押します。ZAP がスパイダーでページを集め、パッシブスキャンの後にアクティブスキャンを行います。
5. 画面下の Alerts タブでアラートを 1 件選びます。Response タブで、アラートの原因になった箇所が強調表示されます。

Juice Shop のように画面を JavaScript で組み立てるアプリでは、自動のスパイダーだけでは拾えないページがあります。ブラウザを ZAP 経由にして手で操作すると、記録できる範囲が広がります。

##主な使い方

ベースラインスキャンは、スパイダーを既定で 1 分動かし、パッシブスキャンの結果だけを報告します。公式の例は次の形です。

docker run -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t https://www.example.com

フルスキャンはアクティブスキャンまで行い、時間も長くかかります。本番環境ではなく、自分の検証環境に向けてください。

##注意点

##次に読む

• cd ../juice-shopOWASP Juice ShopZAP の練習台になる、わざと脆弱に作られた Web アプリ
• cd ../nucleiNucleiテンプレートで既知の脆弱性を調べるスキャナ
• cat ~/guides/lab-setup.md安全な検証環境の作り方