1. ZAProxy Nasıl Çalışır? (Man-in-the-Middle)
ZAP, teknik olarak bir "Man-in-the-Middle" (Aradaki Adam) Proxy'si olarak çalışır.Siz tarayıcınızla (örneğin Firefox) hedef web sitesi arasında gezinirken, ZAP bu ikisinin arasına girer. Tarayıcınızdan giden tüm istekleri (Requests) ve web sitesinden gelen tüm yanıtları (Responses) yakalar, kaydeder ve analiz eder.
2. ZAProxy'nin Temel Özellikleri ve Yetenekleri
ZAP, bir web uygulamasını test ederken şu ana aşamaları ve özellikleri kullanır:A. Örümcek Ağı (Spidering)
ZAP, hedef web sitesindeki tüm linkleri, sayfaları, formları ve butonları otomatik olarak tıklar ve sitenin bir haritasını çıkarır. İki tür örümcek barındırır:- Geleneksel Spider: HTML kodlarını inceleyerek linkleri bulur.
- AJAX Spider: Modern, JavaScript (React, Angular vb.) kullanan dinamik siteler için tarayıcıyı taklit ederek dinamik içerikleri keşfeder.
B. Pasif Tarama (Passive Scanning)
ZAP, site haritasını çıkarırken veya siz sitede dolaşırken arka planda gelen-giden trafiği inceler. Siteye hiçbir zararlı istek göndermez. Sadece dışarıdan bakarak güvenli olmayan çerezler (cookies), eksik güvenlik başlıkları (headers) gibi hataları tespit eder.C. Aktif Tarama (Active Scanning)
İşte ZAP'ın gerçek bir saldırgan gibi davrandığı yer burasıdır. Belirlenen hedeflere bilinen güvenlik açıklarını tetikleyecek zararlı girdiler (payloadlar) gönderir. * SQL Enjeksiyonu (SQLi)- Siteler Arası Betik Çalıştırma (XSS)
- Dosya Dahil Etme (LFI/RFI) gibi en tehlikeli açıkları bu aşamada simüle ederek bulur.
D. Fuzzing (Bulanıklaştırma)
Web uygulamasındaki bir girdi alanına (örneğin giriş formu veya arama kutusu) binlerce rastgele veya önceden hazırlanmış kelime listesini (wordlist) sırayla göndererek uygulamanın hata verip vermediğini veya çöküp çökmediğini test eder.3. Neden Kali Linux'ta ZAP Kullanılır?
Kali Linux, sızma testi için optimize edilmiş bir işletim sistemidir ve ZAP bu sistemde yerleşik (pre-installed) olarak gelir. Kali'de ZAP kullanmanın avantajları şunlardır:- Ücretsiz ve Açık Kaynaklıdır: Ticari muadili olan Burp Suite Professional gibi binlerce dolar ödemeniz gerekmez.
- Otomasyona Uygundur: CI/CD süreçlerine (DevSecOps) entegre edilebilir; yani yazılımcılar kodlarını yayına almadan önce ZAP otomatik olarak çalışıp rapor sunabilir.
- Gelişmiş Eklenti Marketi: İçindeki "Add-on Marketplace" sayesinde sürekli güncellenen yeni test modülleri ücretsiz indirilebilir.
4. Kali Linux'ta ZAProxy Nasıl Başlatılır ve Kullanılır?
Başlatma:
Kali Linux terminalini açıp şu komutu yazarak veya uygulama menüsünden aratarak başlatabilirsiniz:Bash
zaproxy<br>
Temel Kullanım Modları:
ZAP açıldığında karşınıza iki ana seçenek çıkar:- Automated Scan (Otomatik Tarama / Hızlı Başlangıç): URL kısmına hedef web sitesini yazıp "Attack" butonuna basarsınız. ZAP sırasıyla örümcek taraması, pasif tarama ve aktif tarama yaparak size hızlıca bir açık raporu sunar.
- Manual Explore (Manuel Keşif): ZAP'ın kendi içindeki tarayıcıyı (Launch Browser) başlatarak siteyi elinizle gezersiniz. Bu esnada ZAP trafiği kaydeder ve siz de spesifik istekleri değiştirerek (Intercept) test edebilirsiniz.
https://www.zaproxy.org/
