ZAP Heads Up Display

El HUD ya no está en desarrollo activo

Desafortunadamente, el HUD ya no está en desarrollo activo debido a que nadie se está centrando en él.

El HUD es una interfaz única e innovadora que sabemos que a algunas personas les encanta. Pero también requiere una cantidad nada trivial de mantenimiento y, en este momento, simplemente no tenemos suficientes voluntarios para mantenerlo.

Si deseas involucrarte, comunícate a través del Grupo ZAP HUD.

Para poder seguir manteniendo el HUD, en realidad no necesitamos a nadie con experiencia en Java; eso ya lo tenemos cubierto. Necesitamos a alguien con buena experiencia en JavaScript y la confianza para sumergirse en problemas de navegador no triviales.

El HUD es un proyecto muy poco convencional y hace cosas inusuales para sortear las funciones de seguridad del navegador. Los cambios en los navegadores a menudo rompen el HUD de maneras extrañas.

Sabemos que el HUD ya no se carga de manera confiable todo el tiempo en Firefox y Chrome, y las pruebas de integración que tenemos para él están rotas desde hace algún tiempo.

Si estás listo para un desafío, ¡avísanos!

El HUD es una interfaz que proporciona la funcionalidad de ZAP directamente en el navegador.

Aprende más:

• Blog: Hackear con un Heads Up Display
• Video: El ZAP HUD - Herramienta de Seguridad Usable
• Wiki: Dentro del HUD

Usando el HUD

Descarga

Puedes probar ZAP habilitado con el HUD a través de cualquiera de las siguientes opciones:

• Descarga y ejecuta la última Versión de ZAP

o

• Ejecútalo desde este repositorio usando:
  root@kitploit:~

  git clone https://github.com/zaproxy/zap-hud.git
  cd zap-hud
  ./gradlew runZap
  

En todos los casos necesitarás tener instalado Java 11+.

Verás el icono del Radar del HUD en la barra de herramientas. Cuando el icono esté seleccionado, el HUD se agregará a tu navegador.

Iniciando el HUD

1. Inicio rápido: Selecciona Firefox o Chrome en la pestaña Quick Start y haz clic en el botón Launch Browser.

2. Manualmente: También puedes configurar Firefox o Chrome para que usen ZAP como proxy manualmente, pero necesitarás importar el Certificado Raíz CA de ZAP (y puede que requieras otros cambios de configuración en navegadores actualizados).

La primera vez que se inicie el HUD, se te mostrará el Tutorial del HUD. Recomendamos que sigas el tutorial incluso si ya has leído la publicación del blog de arriba y has visto el video.

Cómo involucrarse

ZAP es un proyecto comunitario, por lo que siempre estamos muy interesados en escuchar a cualquier persona que quiera contribuir. Solo publica en el Grupo ZAP HUD.

También nos encantaría recibir comentarios, que puedes proporcionar a través de ese mismo grupo.

Limitaciones

Esto todavía es temprano y hay algunos problemas y limitaciones conocidos en la versión actual. El desarrollo del HUD está activo y recomendamos que consultes a menudo para ver nuevas funciones y mejoras. :)

NO debes usarlo en sitios en los que no confíes. Sin embargo, sí está dentro del alcance del programa de recompensas por errores de ZAP en BugCrowd.

Limitaciones durante la ejecución:

• Solo está disponible una cantidad limitada de funcionalidad de ZAP
• Firefox ha sido probado más que Chrome, pero ambos deberían funcionar
• El código para admitir el HUD en múltiples pestañas del navegador es muy nuevo, por lo que podría tener errores
  • En particular, no cierres la primera pestaña en Firefox o el HUD dejará de funcionar (extraño, lo sabemos. Consulta #199 para más detalles)
• Usar el HUD con las herramientas de desarrollo del navegador abiertas puede afectar significativamente el rendimiento
• El comportamiento al usar el botón de retroceso del navegador actualmente no está definido

Problemas y tareas pendientes en el código:

• Estamos usando Vue.js en modo de desarrollo, lo que nos impide usar una CSP lo suficientemente fuerte
• El código JavaScript aún necesita ser formateado y verificado con linter
• La documentación podría, por supuesto, ser mejor
• Las funciones asíncronas se manejan mediante Promesas en lugar de usar el patrón 'await'

Estas listas no son exhaustivas, pero destacan algunas de las restricciones más importantes.