Introduction to security testing and Penetration testing tool ZAP

Deutsch

Leistungen
- Beratung Digitalisierung Wir beraten Sie kompetent und unabhänging für digitalen Projekte. Zusammen mit uns finden Sie die richtigen Lösungen für Ihre Geschäftsprozesse.
- UI / UX Design Ein schönes UI/UX trägt entscheidend zum Erfolg Ihrer Software bei. Nutzen Sie unser Fachwissen in der Gestaltung von Anwendungen mit erstklassigem Nutzererlebnis.
- Entwicklung Wir entwicklen skalierbare Softwarelösungen mit hohen Qualitätsstandards.
- Testing/QA Unser Testing Team führt manuelle und automatisierte Tests aus, um das fehlerlose Funktionieren unserer Produkte sicherzustellen
- IT Services Unser technisches Team überwacht, wartet und stellt eine verlässliche Infrastruktur sicher, um Ihre Software jederzeit betriebsbereit zu halten
Lösungen
- E-Commerce Wir bauen moderne E-Commerce Shops, die den Kunden Komfort und Zuverlässigkeit bieten.
- Mobile Apps Wir entwickeln native oder hybride mobile Apps nach Mass. Dabei unterstützen unsere Spezialisten Sie bei Bedarf mit Wireframes und Designs.
- Business Applications Wir konzipieren, planen und entwickeln webbasierte Tools, Plattformen und Anwendungen nach Ihren Bedürfnissen.
- AI & Data Science Wir entwickeln innovative Lösungen, prädiktive Analysen und umsetzbare Erkenntnisse, um Ihr Wachstum zu fördern.
- Websites Wir beraten und unterstützen Sie bei der Realisierung einer skalierbaren E-Commerce Idee oder attraktiven Firmenwebsite.
Ihr Remote Team
Technologie
Referenzen
Unternehmen
- Über PITS Ein Schnappschuss über PITS, unsere Geschichte, Werte und unser Team ist immer interessant zu erfahren.
- Initiativen Wir haben in den letzten Jahren mehrere digitale Initiativen durchgeführt, die von der Entwicklung eigener Produkte und Projekte bis hin zu Investitionen in Startups reichen.
- Jobs PITS wurde in den letzten Jahren regelmäßig als großartiger Arbeitgeber ausgezeichnet. Schauen Sie sich unsere offenen Stellen an und bewerben Sie sich als Teil unseres Teams
- Kontakt Kontaktieren Sie unseren Bürostandort in der Nähe Ihrer Region. Wir freuen uns, Sie persönlich kennenzulernen und Ihre Projekte bei einer warmen Tasse Kaffee oder Tee zu besprechen.
Insights
- Case Studies Lassen Sie sich von unserer Sammlung aussagekräftiger Fallstudien auf dem Weg zum Erfolg begleiten.
- White paper PITS Whitepapers werden sowohl für Entwickler als auch für Kunden zu bestimmten Themen sorgfältig erstellt.
- Newsroom Willkommen in unserem Newsroom, wo wir die neuesten Updates, wichtige Unternehmensnachrichten, Veranstaltungshighlights, spannende Videos und mehr teilen.
- Blog Unser Blog versorgt Sie regelmässig mit aktuellen und spannenden Artikeln zu den unterschiedlichsten Themen aus der Online-Welt.

What is security testing?

Security testing is a non functional testing process used to determine that the data contained in an information system is secure and protected. Security testing also verifies that only authorized users can login to the system and there is no information leakage. We use a wide range of software, hardware and firewalls like metaspoilt, wireshark, w3af, netsparker, ZED attack proxy (ZAP) etc.

Why do we need security testing?

To gain customer trust
To avoid revenue impact
To avoid website downtime
To reduce cost by securing the application against future attacks

Principles of Security Testing

Authentication: The system should validate that the data used by the system is genuine.
Authorization: Specific users should only be given access to authorized functions.
Confidentiality: Data inside the systemshould be secured from theft.
Integrity: The application data is not altered in course of time.
Non-repudiation: Once data is send or received, the sender or receiver of the information cannot deny it.

Common security threats and techniques

SQL Injection: Malicious SQL statements are used to get critical information from the database by inserting them to the text fields or url. SQL injection can also grant unauthorized access.

For example: If a user gets a database error on submitting single quotes, it means that some query input is executed by the application. Ideally it should be validated and rejected by the application.

Cross site scripting(XSS): Through XSS, attackers can inject client side script into webpages and make the user to click on that link. Any HTML <html> or Script <script> should be rejected by the application.
URL Manipulation: Attackers manipulate the website URL strings to modify the GET method which pass information between client and server. Such modified requests will capture important information from the server. Under such attacks user may also get access to unauthorized pages.
Brute force attack: Using automated software (e.g. Jmeter), we can try out a large combination of username and passwords to get access to the system. A secure system should prevent repeated and frequent login attempts.

ZAP Penetration Testing

ZAP (Zed attack proxy) is an open source penetration testing tool maintained by the Open Web Application Security Project (OWASP) to know the vulnerabilities in web applications. It stands between the tester’s browser and the web application so that it can intercept and inspect messages sent between browser and web application, modify the contents if needed, and then forward those packets on to the destination.

Using ZAP, we can perform three types of automated scanning;

Passive scanning – Passive scanning spiders your web-app and scans the responses without altering them. Only potential hazards can be detected by passive scanning
Active scanning – By active scanning, we can both scan and attacks the web-application
Fuzzing – Fuzzing allows us to modify the response from the web-app and view the results instantly

How to download and run OWASP ZAP?

Download the tool from the link https://github.com/zaproxy/zaproxy/wiki/Downloads
Session Persisting: Whenever we start ZAP, we will be asked if we want to persist ZAP session. The ZAP sessions are saved to database with a name and location by default. If we do not persist the session, the session files will be automatically deleted on exiting the app.

Set up Proxy in ZAP.

Before setting up proxy in ZAP, don’t forget to clear all active sessions in Firefox browser. After clearing all sessions, go to ZAP tool >> Tools Menu >> Options >> Local Proxy. Change address to 127.0.0.1 and port as 8080.

Now, access the url of the web-application using Firefox browser and when successfully connected, there will be more lines under ‘sites’ and ‘history’ tabs.
Now the attack can be activated by right clicking the HTML folder and clicking ‘activate scan’ under ‘attack’ menu.

Run a Quick Start Test

To run a Quick Start test, Access the Quick Start tab of the Workspace Window and enter the URL in the attack text box. Then click the attack button. ZAP will proceed to crawl the web application with its spider, then passively scan each page it finds. The spider looks through all the responses for the vulnerabilities. Then ZAP will use the active scanner to attack all of the discovered pages, functionality, and parameters.

The security issues found by the ZAP are listed under the alerts tab.

We can see details of each attack and its response by selecting them. More details can be viewed by double clicking on the vulnerability.

Report Generation:

We can generate different types of reports from ZAP tools >> Reports. The most common types of reports generated are HTML report, XML report and Markdown report.

Finally, it should be clearly noted that the scanner detected vulnerabilities and its hazard levels may not correspond with the reality.

REFERENCES:

Schreibe einen Kommentar

Du musst angemeldet sein, um einen Kommentar abzugeben.