OWASP ZAP (Zed Attack Proxy) adalah perangkat lunak open-source yang digunakan secara luas untuk menemukan kerentanan keamanan pada aplikasi web selama fase pengujian penetrasi (penetration testing). Perangkat ini bertindak sebagai man-in-the-middle proxy di antara browser tester dan aplikasi web target, memungkinkan pengguna untuk mengintersep, memodifikasi, dan melihat isi lalu lintas HTTP/HTTPS secara real-time.
Untuk memulai pengujian keamanan menggunakan OWASP ZAP, pastikan perangkat Anda telah terinstal Java Runtime Environment (JRE) karena aplikasi ini dibangun di atas platform Java. Unduh installer resmi melalui situs web utama mereka di zaproxy.org yang tersedia untuk sistem operasi Windows, macOS, dan Linux.
Fitur Utama dan Perbandingan Mode Operasional
Dalam menjalankan OWASP ZAP, terdapat beberapa mode operasional utama yang menentukan tingkat otomatisasi dan keamanan target pengujian.
| Mode ZAP | Fungsi Utama | Tingkat Otomatisasi | Rekomendasi Penggunaan |
|---|---|---|---|
| Standard | Operasi dasar dengan kontrol penuh manual. | Rendah | Eksplorasi awal dan intercept manual. |
| Attack | Mengizinkan serangan otomatis pada URL baru yang ditemukan. | Tinggi | Tahap active scanning pada lingkungan staging. |
| Protected | Mencegah serangan pada domain di luar scope yang ditentukan. | Menengah | Pengujian aplikasi produksi dengan pembatasan ketat. |
| Safe | Melarang segala bentuk tindakan yang berpotensi mengubah data target. | Nol | Passive scanning murni tanpa risiko merusak data. |
Langkah-Langkah Dasar Penggunaan OWASP ZAP
1. Konfigurasi Browser dan Proxy
Agar ZAP dapat membaca lalu lintas data, arahkan browser Anda untuk menggunakan proxy lokal ZAP yang secara default berjalan pada alamat 127.0.0.1 dengan port 8080. Anda juga dapat menginstal ZAP Root CA Certificate pada browser agar aplikasi dapat menginspeksi lalu lintas HTTPS dengan lancar tanpa peringatan keamanan SSL.
2. Melakukan Automated Scan (Spider dan Active Scan)
Masukkan URL target pada kolom "URL to attack" di layar utama ZAP, lalu klik tombol Attack. Fitur Spider akan merayapi seluruh tautan dan direktori yang ada di dalam aplikasi web tersebut. Setelah proses spider selesai, Anda dapat melanjutkan dengan Active Scan untuk menguji kerentanan umum seperti SQL Injection, Cross-Site Scripting (XSS), dan Local File Inclusion (LFI).
# Contoh verifikasi port proxy ZAP melalui terminal Linux
netstat -tuln | grep 8080
# Contoh menjalankan ZAP dalam mode headless (daemon) via CLI
zap.sh -daemon -host 127.0.0.1 -port 8080 -config api.disablekey=true3. Analisis Hasil Temuan (Alerts)
Tab Alerts di sisi kiri bawah antarmuka ZAP akan menampilkan daftar kerentanan yang dikategorikan berdasarkan tingkat risiko: High, Medium, Low, dan Informational. Setiap temuan dilengkapi dengan penjelasan detail mengenai lokasi kerentanan, parameter yang rentan, serta rekomendasi cara memperbaikinya (remediation).
Tips Troubleshooting Lapangan
Jika ZAP gagal menangkap lalu lintas HTTPS, pastikan sertifikat SSL ZAP sudah diimport dengan benar ke dalam daftar Trusted Root Certification Authorities di browser atau sistem operasi Anda. Selain itu, periksa kembali pengaturan proxy sistem atau ekstensi browser seperti FoxyProxy untuk memastikan tidak ada konflik port.