ZAP Head-up-Display

Das HUD wird nicht mehr aktiv weiterentwickelt

Leider wird das HUD nicht mehr aktiv weiterentwickelt, da sich niemand darauf konzentriert.

Das HUD ist eine einzigartige und innovative Oberfläche, die, wie wir wissen, von einigen Menschen geliebt wird. Aber es erfordert auch einen nicht unerheblichen Wartungsaufwand, und wir haben derzeit nicht genügend Freiwillige, um es zu pflegen.

Wenn Sie mitmachen möchten, kontaktieren Sie uns bitte über die ZAP HUD Group.

Um das HUD weiterhin zu pflegen, brauchen wir eigentlich niemanden mit Java-Erfahrung – das haben wir abgedeckt. Wir brauchen jemanden mit guten Java Script-Kenntnissen und dem Selbstvertrauen, sich in nicht triviale Browserprobleme zu stürzen.

Das HUD ist ein sehr unkonventionelles Projekt und tut ungewöhnliche Dinge, um Browser-Sicherheitsfunktionen zu umgehen. Änderungen im Browser brechen das HUD oft auf seltsame Weise.

Wir wissen, dass das HUD in Firefox und Chrome nicht mehr zuverlässig lädt, und die Integrationstests, die wir dafür haben, sind seit einiger Zeit defekt.

Wenn Sie bereit für eine Herausforderung sind, dann lassen Sie es uns wissen!

Das HUD ist eine Oberfläche, die die Funktionalität von ZAP direkt im Browser bereitstellt.

Mehr erfahren:

• Blog: Hacken mit einem Head-up-Display
• Video: Das ZAP HUD – Benutzbare Sicherheitswerkzeuge
• Wiki: Im Inneren des HUD

Das HUD verwenden

Herunterladen

Sie können ZAP mit aktiviertem HUD auf verschiedene Arten ausprobieren:

• Laden Sie die neueste ZAP-Release herunter und führen Sie sie aus

oder

• Führen Sie es aus diesem Repository aus mit:
  root@kitploit:~

  git clone https://github.com/zaproxy/zap-hud.git
  cd zap-hud
  ./gradlew runZap
  

In allen Fällen benötigen Sie Java 11+ installiert.

Sie sehen das HUD-Radar-Symbol in der Symbolleiste. Wenn das Symbol ausgewählt ist, wird das HUD zu Ihrem Browser hinzugefügt.

Das HUD starten

1. Schnellstart: Wählen Sie entweder Firefox oder Chrome auf der Registerkarte Quick Start und klicken Sie auf die Schaltfläche Launch Browser.

2. Manuell: Sie können Firefox oder Chrome auch manuell so konfigurieren, dass sie über ZAP proxyen, aber Sie müssen das ZAP-Root-CA-Zertifikat importieren (und möglicherweise andere Einstellungen in aktuellen Browsern ändern).

Wenn das HUD zum ersten Mal gestartet wird, werden Sie mit dem HUD-Tutorial begrüßt. Wir empfehlen, dass Sie das Tutorial auch dann durchgehen, wenn Sie den obigen Blogbeitrag gelesen und das Video angesehen haben.

Mitmachen

ZAP ist ein Gemeinschaftsprojekt, daher freuen wir uns immer über Beiträge. Schreiben Sie einfach an die ZAP HUD Group

Wir würden uns auch über Feedback freuen, das Sie ebenfalls über diese Gruppe geben können.

Einschränkungen

Dies ist noch früh in der Entwicklung und es gibt einige bekannte Probleme und Einschränkungen in der aktuellen Version. Die Entwicklung am HUD ist aktiv und wir empfehlen Ihnen, regelmäßig nach neuen Funktionen und Verbesserungen zu sehen. :)

Sie sollten es NICHT auf Websites verwenden, denen Sie nicht vertrauen! Es fällt jedoch in den Rahmen des ZAP Bug-Bounty auf BugCrowd

Einschränkungen während der Ausführung:

• Es steht nur eine begrenzte Menge an ZAP-Funktionalität zur Verfügung
• Firefox wurde mehr getestet als Chrome, aber beide sollten funktionieren
• Der Code zur Unterstützung des HUD in mehreren Browser-Tabs ist sehr neu, daher könnte es Fehler geben
  • Schließen Sie insbesondere nicht den ersten Tab in Firefox, sonst wird das HUD nicht mehr funktionieren (komisch, wir wissen. Siehe #199 für Details)
• Die Verwendung des HUD bei geöffneten Entwicklertools des Browsers kann die Leistung erheblich beeinträchtigen
• Das Verhalten bei Verwendung der Zurück-Schaltfläche des Browsers ist derzeit undefiniert

Probleme und offene Punkte im Code:

• Wir verwenden Vue.js im Entwicklermodus, was uns daran hindert, ein geeignet starkes CSP zu verwenden
• JavaScript-Code muss noch formatiert und linted werden
• Die Dokumentation könnte natürlich besser sein
• Async-Funktionen werden über Promises behandelt, anstatt das 'await'-Muster zu verwenden

Diese Listen sind nicht vollständig, heben aber einige der größeren Einschränkungen hervor.