1.
Автоматическое тестирование
безопасности
ZAP и
Selenium
Шапин Антон
@kirlionik

2.
Немного мании величия
Шапин Антон
• Руководитель отдела
тестирования am.ru
• В IT более семи лет.
• Занимаюсь различными
видами тестирования(от
ручного до
автоматизированного)
Site: http://qaengineer.ru
E-mail: shapin.anton@gmail.com

3.
Чего НЕ будет в докладе
• Раскрытие "чёрной магии" взлома сайтов
• Сравнения инструментов по тестированию
безопасности

4.
О чём пойдет речь
• Что такое ZAP с демонстрацией
• Интеграция ZAP и Selenium Web Driver
• Внедрение автоматического тестирования
безопасности в существующую систему
автотестов

5.
Предупреждение
• Я не специалист по security тестированию
• Я за качество продукта!

6.
Начнём!

7.
Zed Attack Proxy (ZAP)
• Простой инструмент для проведения pentest'а
web-порталов
• Полностью бесплатное c открытым исходным
кодом
• Идеально для внедрения в систему
автоматического тестирования безопасности
• Идеальный инструмент для новичков,
который используют и профессионалы

8.
На что способен ZAP
• Intercepting Proxy
• Automated scanner
• Passive scanner
• Brute Force scanner
• Spider

9.
На что способен ZAP
• Fuzzer
• Smartcard and Client Digital Certificates
support
• Port scanner
• Dynamic SSL certificates
• API
• Beanshell integration

10.
Ручное использование ZAP
Web browser
QA Expert
ZAP Web
Application

11.
Ручное использование

12.
Зачем нам Selenium?
• Автоматические Security Regress Tests
• Не обязательны глубокие знания "Чёрной
магии"
• Интеграция тестирования безопасности с
continuous integration
• Возможность проверки только
необходимых модулей, а не всей системы

13.
Build Tool + Selenium + ZAP = Profit!
Web browser
Build tool Web Driver
Web ZAP
Application

14.
Build Tool + Selenium + ZAP

15.
Плюсы использования
• Позволяет быстро убрать с
портала грубые ошибки
безопасности (на халяву!)
• Контроль качества
безопасности кода при
каждом билде

16.
Плюсы использования
• Проверка только отдельных модулей на
уязвимости, а не всего портала
• Легкая интеграция с уже имеющейся
системой автотестов
• Кросс-платформенность

17.
Предостережения
• ZAP не даёт гарантии, что
ваш портал не взломают
• ZAP написан на Java, как
следствие любит кушать
(иногда жрать) память

18.
Полезные ссылки
• Домашняя страница ZAP
https://www.owasp.org/index.php/ZAP
• Downloads, wiki, source code
http://code.google.com/p/zaproxy/downloads/list
• ZAP announcements
@zaproxy

19.
Спасибо за внимание!