はじめに

OWASP ZAP（Zed Attack Proxy）は、Webアプリケーションの脆弱性診断に使われるプロキシツールです。本記事では、最新版であるZAP v2.17.0を使って、ブラウザとWebアプリ間の通信をZAP経由で可視化・記録するための設定手順をまとめます。

徳丸本（『体系的に学ぶ安全なWebアプリケーションの作り方』）のDocker実習環境（wasbook-docker）を例に、Firefoxでhttp://example.jp にアクセスした際の通信をZAPで監視できる状態にするまでの手順を解説します。

アプローチ

1. ローカルサーバー/プロキシの設定（ZAP自体の待受ポート）

ZAPのメニューから以下を開きます。

ツール → オプション → ネットワーク → ローカルサーバー/プロキシ

「メインプロキシ」に以下を設定します。

アドレス：localhost
ポート：任意（例：58888）

これは、ブラウザが直接接続する先（ZAP自体の待受ポート）になります。

2. 接続（アップストリームプロキシ）の設定

続けて以下を開きます。

ツール → オプション → ネットワーク → 接続 → HTTPプロキシ タブ

以下を設定します。

有効：チェックを入れる
ホスト：localhost
ポート：診断対象アプリ側のフォワードプロキシのポート（例：13128）

これは、ZAPがさらにその先へリクエストを転送する「アップストリームプロキシ」の設定です。診断対象（今回はDockerコンテナ上のapache）がフォワードプロキシとして構成されている場合に使用します。

3. ブラウザ側のプロキシ設定

Firefoxのネットワーク設定で、手順1で設定したZAPの待受アドレス・ポート（localhost:58888）をHTTP/HTTPSプロキシとして指定します。

4. 手動探索でブラウザを起動

ZAPのメイン画面中央にある「手動探索」から以下を設定し、ブラウザを起動します。

探索対象URL：http://example.jp
アプリケーションを探索：Firefox

「ブラウザを起動」をクリックすると、Firefoxが起動し、指定したURLにアクセスします。

5. 通信の確認

ZAPの「履歴」タブ、または「サイト」タブを確認すると、ブラウザが送受信したHTTPリクエスト・レスポンスが記録されていることが確認できます。これでZAP経由の通信可視化・記録が完了です。

おわりに

ZAP v2.17.0では、古いバージョン（v2.11.1など）にあった「外部プロキシサーバ利用」という独立メニューが廃止され、「接続」タブに統合されています。UI構成がバージョンごとに変わっているため、教材や書籍の手順と画面が一致しない場合は、メニュー構成の変化を疑って探してみることをおすすめします。

参考

JISOUのメンバー募集中！

プログラミングコーチングJISOUでは、新たなメンバーを募集しています。
日本一のアウトプットコミュニティでキャリアアップしませんか？
興味のある方は、ぜひホームページをのぞいてみてください！
▼▼▼
https://projisou.jp