FiddleZAP

FiddleZAPは、EKFiddleを簡略化したバージョンで、OWASP ZAP向けに作られています。

ZAPをWebプロキシとして使用することで、事前定義された正規表現に基づいて悪意のあるトラフィックをフラグ付けできます。

例：正規表現が侵害されたウェブサイトのHTMLソースコード内の文字列にマッチした場合に、アラート、強調表示、タグ付けを行います

インストール

• ZAPをダウンロードしてインストールします：https://www.zaproxy.org/download/

• FiddleZAPディレクトリをダウンロードまたはクローンして、Documentsフォルダに配置します。

以下のような構造になります：

2つのスクリプト（スタンドアロン、パッシブルール）があります。前者は現在読み込まれているセッション（Webトラフィック）に対して手動で実行するために使用し、後者はトラフィックの記録中に自動的に実行されます。

スタンドアロン

まず、スタンドアロンスクリプトをインストールします：

• スクリプトの読み込みアイコンをクリックします：

• 以下のパラメータを選択します：

• これで、スクリプトがスタンドアロンの下に表示されます：

パッシブルール

次に、パッシブルールスクリプトをインストールします：

• スクリプトの読み込みアイコンをクリックします：

• 以下のパラメータを選択します：

FiddleZAPスクリプトがパッシブルールの下に表示されるはずです。有効になっていない場合は、右クリックして「スクリプトを有効化」を選択します。

機能

悪意のあるトラフィックを検出するための正規表現（ルール）

FiddleZAPのルールは、URIパターンとソースコードパターン（セッション本文）を検索できます。

• いくつかの例を含む community_rules.txt ファイルが提供されています。

• user_rules.txt はユーザー自身のルールファイルです。

ルールは自動的に読み込まれ、受信トラフィックのスキャンに使用されます（パッシブルールスクリプトが有効な場合）。以前にキャプチャしたトラフィックに対してルールを実行したい場合は、スタンドアロンスクリプトを実行する必要があります。

一致したWebセッションの色分けとタグ付け

（この機能にはneonmarkerアドオンが必要です）

詳細なアラート