OWASP ZAP 2.8.0経由でHTTPのサイト閲覧したいのに勝手にHTTPSになって困った

1763 ワード
安全なWebアプリケーションの作り方 OWASP_ZAP 徳丸本 徳丸本 テキストリンク

解決方法

HUDをOFFにする

公式の正誤情報でてました
https://www.sbcr.jp/support/15210/

経緯

  • 徳丸本(安全なWebアプリケーションの作り方)を進めていた。
  • ZAPをプロキシに設定してhttpでexample.jpにアクセスすると勝手にhttpsになる問題発生
  • 3.3 CORS（Cross-Origin Resource Sharing）の33-001a:シンプルなリクエスト(CORS対応)から、Firefoxのコンソールに以下のようなエラーがでて、クロスサイトの通信ができなかった
    • (スキームが違うので別オリジンとなってしまうため当然だが)
混在アクティブコンテンツ “http://api.example.net/33/33-002a.php” の読み込みをブロックしました

HUDとは

ZAP経由でサイト閲覧した時に、画面上に色々表示してくれる機能
ZAP 2.8.0からHUDがデフォルト有効になった模様（追加された？）

徳丸本の手順通りにFoxyProxyを使っていると以下のようにうまく表示されないかも

原因の考察

HUDの表示は、ブラウザのHTMLにiframeで挿入されている
iframeのsrcはhttps://zap//zapCallBackUrl/以下略
httpのサイトにiframeでhttpsのサイトを埋め込むことはできないから(混合コンテンツ)
ZAPが勝手にhttpsで通信するようにしてるんじゃないかなあ

以上