Snifer@L4b's: Owasp Zaproxy VIII - Actualización y Plugins en Zap

Aprovechando que hace unos días se liberó la versión 2.4.2 de Zap, en ésta entrada veremos la manera de actualizar, además de la instalación y uso de los plugins.

Para actualizar nuestra tool, tenemos que ir a la pestaña ‘Help’ y seleccionar ‘Check for Updates’

Se abrirá el ‘Manage Add-ons’ y si no tenemos la última versión, nos aparecerá un mensaje indicándonos que existe una versión más reciente.

Damos click en ‘Download ZAP’ y comenzará la descarga en segundo plano, como lo indica el texto en la parte inferior de la ventana.

Una vez, hecho ésto, levantamos una consola y listamos con ‘ls’ sobre ~

Nos movemos al directorio ‘.ZAP/plugin’ y al listar vemos que ya tenemos la versión nueva.

En caso de no estar el ‘.tar.gz’ con la versión nueva, podemos descargarla directamente del sitio https://github.com/zaproxy/zaproxy/wiki/Downloads o haciendo un ‘wget’.

Cuando lo tengamos, debemos descomprimir el archivo tareado de la siguiente manera.

Y por último movemos toda el directorio de ZAP nuevo para pisar el viejo sobre ‘/usr/share/zaproxy’

Iniciamos ZAP para corroborar:

Con la última versión de ZAP, vienen varios add-ons interesantes y varios updates. Para visualizar los plugins debemos ir al ‘Manage add-ons’ como vimos más arriba o simplemente con ‘Ctrl+u’. Si deseamos ver de queé se trata un plugin, basta con hacerle click para que nos muestre más información.

Para el siguiente ejemplo, instalaremos y veremos el funcionamiento de un plugin llamado ‘Call Graph’. Lo seleccionamos y clickleamos en ‘Install Selected’

Una vez finalizado, vamos sobre nuestro ya conocido ‘google-grouyere.appspot.com’ y haciendo click secundario ya tendremos la opción del plugin que acabamos de instalar disponible.

Si seleccionamos la opción de ‘All Site’, veremos un diagrama de todos los directorios, subdirectorios y archivos que se ha identificado el scanner.

Los invito a que revisen el resto de los plugins, hay muchísimos muy interesantes como ‘Log File Importer, Browser View, fuzzdb files, Python Scripting’ entre otros.

Para finalizar, quisiera agradecer a Simon Bennetts (@psiinon) y a Cristian Borghello (@SeguInfo) por el agradecimiento y difusión de las cápsulas.

Y un feliz cumple a Jose Moruno (@sniferl4bs)

Regard {~}

Contribución enviada por: {~}