All posts for: ZAP

W tym artykule ponownie zagłębię się w temat testowania API, które jest zabezpieczone przez mechanizmy szyfrowania i podpisywania żądań przy użyciu kluczy RSA. Jesteście już zaznajomieni z tymi mechanizmami z moich poprzednich postów. Jednak zdecydowałem się powrócić do tego tematu, aby przedstawić rozwiązania dostosowane do oprogramowania Zed Attack Proxy (ZAP), gdzie zachowanie wygląda inaczej. Co więcej, w tym artykule pokażę, jak wykorzystać dwa różne skrypty, uruchamiane w odpowiedniej kolejności, aby modyfikować żądania w locie w sposób oczekiwany przez stronę serwerową. Dzięki takim rozwiązaniom testowanie API staje się znacznie prostsze, ponieważ nie musimy już skupiać się na stosowanych mechanizmach bezpieczeństwa. Dodatkowo, podział skryptów według ich odpowiedzialności znacznie ułatwia ich użytkowanie i pozwala na ich ponowne użycie bez modyfikacji.

Jeden z członków organizacji OWASP zapytał mnie, czy chciałbym przedstawić metodę testowania API zabezpieczonego kluczami RSA za pomocą ZAP. Początkowo nie byłem pewien, czy sobie poradzę, ponieważ na co dzień używam Burpa, ale jak to często bywa w naszym zawodzie, trzeba ciągle ewoluować i eksplorować nowe możliwości. Dlatego zgodziłem się i w tym artykule opisuję, jak można testować API zabezpieczone mechanizmem podpisywania żądań za pomocą kluczy RSA, tym razem wykorzystując skryptowanie w Zed Attack Proxy (ZAP).

Mój autorski wpis, opublikowany na blogu ZAP, zagłębia się w nowy skrypt w repozytorium community-scripts, który ułatwia podpisywanie wychodzących żądań przy użyciu kluczy RSA. Odpowiada to na wyjątkowe wyzwanie testowania aplikacji wymagających tej konkretnej funkcjonalności. Atykuł w całości napisany po angielsku.