韜睿軟體有限公司 | 開源弱點掃描軟體

相信大家平常在開發時，肯定是以功能開發跟商業考量為主要目標。但近年發生了許多資安事件，也讓大眾逐漸意識到資安的重要性。但大家對於資安的漏洞與攻擊方式應該都不太了解，這樣要如何確保自己的系統是安全的呢？

一、什麼是弱點掃描？

除了一般的帳密驗證與授權之外，我們可以依靠弱點掃描工具來檢驗常見的攻擊方式，確保在基本跟常見的攻擊方式下，系統可以正常運作。

弱點掃描分成白箱測試跟黑箱測試。

白箱測試屬於靜態測試，我們會提供工具程式原始碼，工具會掃描原始碼的內容進行靜態分析，並告訴我們是否有寫出系統漏洞。工具會提供漏洞說明及修正範例，告訴我們怎樣的寫法可以避免這些漏洞產生。

黑箱測試則屬於動態測試，我們這次不提供工具程式碼，改為提供網址，讓工具直接用模擬攻擊的方式，對網站進行測試，來確認是否有系統漏洞的發生。因為我們沒有提供原始碼，工具並不知道如何針對程式碼的內容進行攻擊，所以稱為黑箱測試。也由於不提供程式碼，工具並不知道我們是使用哪種技術來達成的，僅能工具提供我們相關說明但不會提供修改範例。

而弱點掃描主要都是靠工具來進行弱點的測試，更進階的滲透測試則會找資安專家或白帽駭客，來了解系統狀況，並模擬更真實的資安攻防戰，進行更完善的資安檢測。

弱點掃描如果找付費軟體或是專業的公司來進行檢測的話，可能需要不少費用，而且每次修復與重新檢測都是一筆費用。這篇文章主要會介紹免費的開源工具來進行弱點掃描的使用與學習。

二、安裝 ZAP

我們使用開源工具來自一家 OWASP 的非營利組織，提供的 OWASP Top Ten 會排名每年十大網路的安全風險，是具有權威象徵的資安排名。黑箱測試採用 ZAP，也是這篇文章的主角。白箱測試則會採用是 SonarQube，會寫另一篇文章介紹用法。

這是一般的安裝教學。

ZAP 官方安裝教學

但我們教學會採用 Docker Compose 的方式進行安裝與執行。

ZAP 官方 Docker 安裝教學

此為 Docker Compose 的設定檔：

GitHub Source Code

services:
  zap:
    image: zaproxy/zap-stable:latest
    container_name: zap-server
    ports:
      - 8080:8080
      - 8090:8090
    volumes:
      - ./volumes/data:/zap/wrk/:rw
    command: >
      zap-webswing.sh

啟用指令：

$ docker compose up -d

使用瀏覽器開啟 http://localhost:8080/zap/ 會導向 ZAP 的網頁版的 GUI 畫面。8090 port 則是提供 ZAP 的 API。

網頁畫面是使用 Webswing 產生類似桌面版的頁面，有用過 Java Swing 的人應該覺得這個風格格外親切。

三、使用 ZAP 自動掃描

對話框主要是詢問是否儲存工作階段，我們這邊選擇第三個選項不儲存。

選擇 Automated Scan (自動掃描)。

我們這邊使用 JSON Placeholder 的網址做測試，在輸入框填入 https://jsonplaceholder.typicode.com/。

這邊說明一下畫面可以做的設定。

URL to attack: 測試網站的主網址，ZAP 會用爬蟲去解析網站內有的 URL 跟子 URL。
Use traditional spider: 使用傳統的爬蟲。這項主要是因為現在 SPA 盛行，傳統的爬蟲不會等待 JavaScript 執行，但執行速度就快很多，如果是採用 SSR 就可以勾選，請依情況斟酌選擇。
Use ajax spider: 就是針對 AJAX 來做執行的部分，瀏覽器可以選擇 Firefox 或 Chrome 來貼近開發客群。
Progress: 是目前的執行狀態。

設定完成就可以點選執行。