IES: Faculdade Estácio-CEUT

Curso: Pós-graduação em Segurança de Redes

Disciplina: Desenvolvimento de Software Seguro

Tutorial da
Ferramenta OWASP-ZAP

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Agenda

• Introdução
• Interessados
• Como baixar o instalador
• Visão Geral
• A instalação
• 8 passos para a configuração
• A Interface principal

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Introdução

A ferramenta ZAP ou Zed Attack Proxy, é um scanner de vulnerabilidade automatizado, é

da instituição OWASP fundada sem fins lucrativos.

1 SAMM: <http://www.opensamm.org> Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Interessados

• Analista de Segurança

• Analista de Testes

• Desenvolvedor/Programador

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Como baixar o instalador

Link:

http://sourceforge.net/projects/zaproxy/files/2.2.2/

Complemento:

http://www.oracle.com/technetwork/java/javase/downloads/server-jre8-
downloads-2133154.html

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Visão geral do ZAP

• Interceptando/modificando o tráfego

• Scanner automatizado

• Automatizando análise de Sql Injection

• Analisando alertas

• Utilizando Fuzzing – Autenticação por Força bruta

• Automatizando análise de XSS

• Utilizando a função Spider

Desenvolvimento de Software Seguro
Prof. Msc. Hilson Silva
 Passo a passo da configuração
1 – Executar a ferramenta.
2 – Selecionar a opção Ferramentas e em seguida opções (Figura 1).

Figura 1 – ilustrativa
Desenvolvimento de Software Seguro
Prof. Msc. Hilson Silva
 Passo a passo da configuração

3 – Proxy Local (definir servidor local) 127.0.0.1 e porta 8080, ou outra porta que não
esteja sendo utilizada por outra aplicação (Figura 2).

Figura 2 – ilustrativa

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Passo a passo da configuração

4 – Problemas com Certificados (Clicar na opção Certificados SSL em seguida Salvar)

(Figura 3).

Figura 3 – ilustrativa

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Passo a passo da configuração

5 - Configurar o Navegador (Firefox) – Abrir o navegador – Opções - Geral - Proxy da

Rede – Configurar Conexão. (Figura 4, 5 e 6)

Figura 4 – ilustrativa

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 8 Passo para a configuração

5 - Configurar o Navegador (Firefox) – Abrir o navegador – Opções - Geral - Proxy da

Rede – Configurar Conexão. (Figura 4, 5 e 6)

Figura 5 – ilustrativa

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Passo a passo da configuração

5 - Configurar o Navegador (Firefox) – Abrir o navegador – Opções - Geral - Proxy da

Rede – Configurar Conexão. (Figura 4, 5 e 6)

Figura 6 – ilustrativa

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Passo a passo da configuração

6 - Configurar o Navegador (Firefox) – Selecione a opção de Privacidade e Segurança –

Procurar a opção de Certificados – Em seguida Ver Certificados (Figura 7 ).

Figura 7 – ilustrativa

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Passo a passo da configuração

7 – Agora é só importar o certificado (Figura 8).

Figura 8 – ilustrativa

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
Interface principal

Ataque que
não necessita
de
configuração
do proxy

Paletas de
Navegação

Resultado do
scanner

Figura 9 – ilustrativa

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
Livros como sugestão

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva
 Referencias

• COUTINHO, S. C. Números inteiros e criptografia RSA. [S.l.]: IMPA, 1997.

• OBELHEIRO, R. R.; FRAGA, J.; WESTPHALL, C. M. Controle de acesso baseado em papéis para o modelo corba de
segurança. In: Proc. 19th Brazilian Symp. Comp. Networks. [S.l.: s.n.], 2001.
• LAUREANO, M. A.; MORAES, P. E. S. Segurança como estratégia de gestão da informação. Revista Economia &
Tecnologia, v. 8, n. 3, p. 38–44, 2005.
• MAGALHÃES, P. S. T.; SANTOS, H. D. d. Biometria e autenticação. Associação Portuguesa de Sistemas de Informação,
2003.
• NAKAMURA, E. T.; GEUS, P. L. de. Segurança de redes em ambientes cooperativos. [S.l.]: Novatec Editora, 2007.
• SÊMOLA, M. Gestão da segurança da informação. [S.l.]: Elsevier Brasil, 2014.
• WESTPHALL, C. M. et al. Um esquema de autorização para a segurança em sistemas distribuídos de larga escala.
Florianópolis, SC, 2000.

Desenvolvimento de Software Seguro

Prof. Msc. Hilson Silva