ZAP Heads Up Display

L'HUD non è più in sviluppo attivo

Purtroppo l'HUD non è più in sviluppo attivo poiché nessuno si sta concentrando su di esso.

L'HUD è un'interfaccia unica e innovativa che sappiamo alcune persone amano. Ma richiede anche una quantità non trascurabile di manutenzione e al momento non abbiamo abbastanza volontari per mantenerlo.

Se desideri partecipare, contattaci tramite il ZAP HUD Group.

Per continuare a mantenere l'HUD non abbiamo bisogno di persone con esperienza Java - abbiamo già coperto quell'aspetto. Abbiamo bisogno di qualcuno con una buona esperienza in JavaScript e la fiducia per immergersi in problemi non banali del browser.

L'HUD è un progetto molto non convenzionale e fa cose insolite per aggirare le funzionalità di sicurezza del browser. I cambiamenti del browser spesso rompono l'HUD in modi strani.

Sappiamo che l'HUD non si carica più in modo affidabile tutto il tempo in Firefox e Chrome, e i test di integrazione che abbiamo per esso sono rotti da un po'.

Se sei pronto per una sfida, faccelo sapere!

L'HUD è un'interfaccia che fornisce le funzionalità di ZAP direttamente nel browser.

Scopri di più:

• Blog: Hacking con un Heads Up Display
• Video: The ZAP HUD - Strumenti di sicurezza utilizzabili
• Wiki: All'interno dell'HUD

Utilizzo dell'HUD

Download

Puoi provare ZAP abilitato con l'HUD tramite uno dei seguenti metodi:

• Scarica ed esegui l'ultima versione di ZAP

oppure

• Eseguilo da questo repository usando:
  root@kitploit:~

  git clone https://github.com/zaproxy/zap-hud.git
  cd zap-hud
  ./gradlew runZap
  

In tutti i casi avrai bisogno di Java 11+ installato.

Vedrai l'icona Radar dell'HUD nella barra degli strumenti. Quando l'icona è selezionata, l'HUD verrà aggiunto al tuo browser.

Avvio dell'HUD

1. Avvio rapido: Seleziona Firefox o Chrome nella scheda Quick Start e clicca sul pulsante Launch Browser.

2. Manualmente: Puoi anche configurare Firefox o Chrome per usare il proxy tramite ZAP manualmente, ma dovrai importare il certificato CA root di ZAP (e potrebbero essere necessarie altre modifiche alle impostazioni nei browser aggiornati).

La prima volta che l'HUD viene avviato, ti verrà mostrato il Tutorial dell'HUD. Ti consigliamo di seguire il tutorial anche se hai letto il post del blog e guardato il video sopra.

Partecipazione

ZAP è un progetto comunitario e quindi siamo sempre molto interessati a sentire da chiunque voglia contribuire, basta postare sul ZAP HUD Group

Ci piacerebbe anche ricevere feedback, che puoi dare anch'esso tramite quel gruppo.

Limitazioni

È ancora presto e ci sono alcuni problemi e limitazioni noti con la versione attuale. Lo sviluppo dell'HUD è attivo e ti consigliamo di controllare spesso per nuove funzionalità e miglioramenti. :)

NON dovresti usarlo su siti di cui non ti fidi! Tuttavia è in scope per il bug bounty di ZAP su BugCrowd

Limitazioni durante l'esecuzione:

• È disponibile solo una quantità limitata di funzionalità di ZAP
• Firefox è stato testato più di Chrome, ma entrambi dovrebbero funzionare
• Il codice per supportare l'HUD in più schede del browser è molto nuovo, quindi potrebbe essere instabile
  • In particolare non chiudere la prima scheda su Firefox o l'HUD smetterà di funzionare (strano, lo sappiamo. Vedi #199 per dettagli)
• Usare l'HUD con gli strumenti di sviluppo del browser aperti può influenzare significativamente le prestazioni
• Il comportamento utilizzando il pulsante Indietro del browser è attualmente indefinito

Problemi e cose da fare nel codice:

• Stiamo usando Vue.js in modalità sviluppo, il che ci impedisce di usare una CSP adeguatamente forte
• Il codice JavaScript deve ancora essere formattato e lintato
• La documentazione potrebbe, ovviamente, essere migliore
• Le funzioni asincrone sono gestite tramite Promise invece di usare il pattern 'await'

Queste liste non sono esaustive, ma evidenziano alcune delle restrizioni maggiori.