OWASP Proxy Zap Fuzz XSS pentest contro API REST

Naviga le tue risposte
1

Sto cercando di testare la mia applicazione PEN contro gli attacchi XSS.

L'applicazione è un'API REST ... Pertanto, quando POST alcuni JSON a / cart / add per vedere il risultato di quell'attacco, dovrai GET / cart.

Finora ho capito come utilizzare correttamente il Fuzzer per realizzare attacchi XSS alla mia applicazione.

Tuttavia si aspetta che la risposta contenga i dati appena inviati.

Credo che quello di cui ho bisogno è un approccio in due passi a Fuzzer.

  1. Effettua richiesta di attacco al POST / carrello / aggiungi
  2. Dichiara se l'attacco è stato     riuscito richiedendo GET / carrello

Qualcuno sa come posso fare questo?

    
posta Mark 18.07.2014 - 18:15
fonte

1 risposta

1

La tua applicazione restituisce HTML quando ottieni / carrello? Se lo è, puoi provare a utilizzare lo scanner XSS persistente ZAP, che dovrebbe iniettare attacchi XSS tramite il POST e quindi controllare tutti gli URL in cui viene visualizzato il carico utile.

Se GET non restituisce html, tutto dipende da come vengono utilizzati i dati.

Per tua informazione abbiamo un gruppo di utenti ZAP che è probabilmente più adatto per domande come questa: link Questo è collegato la voce di menu ZAP "Online / ZAP User Group", apparentemente invisibile perché nessuno sembra riconoscerla;)

Simon (responsabile progetto ZAP)

    
risposta data 18.07.2014 - 18:42
fonte

Leggi altre domande sui tag

Dispositivi di avvio dal vivo Quali sono i problemi di sicurezza di un MITM in una sessione ssh con keypair rsa