owasp zap config v9

.gitea/workflows/deploy.yml

@@ -62,17 +62,19 @@ jobs:
           mkdir -p qatests
           docker volume create zap-data
           
-          # A MAGIA ACONTECE AQUI: Escrevemos o ficheiro de configuração diretamente no volume!
+          # Mudei o nome para zap-rules.conf (já não estamos a fazer baseline)
-          docker run --rm -v zap-data:/zap/wrk alpine sh -c 'echo "FAIL_ON_SEVERITY: HIGH" > /zap/wrk/zap-baseline.conf'
+          docker run --rm -v zap-data:/zap/wrk alpine sh -c 'echo "FAIL_ON_SEVERITY: HIGH" > /zap/wrk/zap-rules.conf'
           
-          echo ">>> 4. Executar OWASP ZAP..."
+          echo ">>> 4. Executar OWASP ZAP (FULL SCAN + AJAX SPIDER)..."
+          # AQUI: zap-full-scan.py em vez de zap-baseline.py!
           docker run --user root --name zap-scanner \
             --network zap-net \
             -v zap-data:/zap/wrk/:rw \
-            -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py \
+            -t ghcr.io/zaproxy/zaproxy:stable zap-full-scan.py \
             -t http://apex-sandbox:3000 \
             -r report.html \
-            -I -c zap-baseline.conf || true
+            -j \
+            -I -c zap-rules.conf || true
             
           echo ">>> 5. Recolher o relatório HTML..."
           docker cp zap-scanner:/zap/wrk/report.html qatests/report.html || true

backend/server.js

@@ -23,19 +23,6 @@ app.get('/about', (req, res) => res.sendFile(path.join(__dirname, '../frontend/a
 app.get('/careers', (req, res) => res.sendFile(path.join(__dirname, '../frontend/careers.html')));
 app.get('/contact', (req, res) => res.sendFile(path.join(__dirname, '../frontend/contact.html')));
 
-// Rota de Pesquisa Vulnerável a Reflected XSS (Armadilha para o OWASP ZAP)
-app.get('/api/search', (req, res) => {
-    const termoPesquisa = req.query.q || '';
-    // A vulnerabilidade: devolver o input diretamente para o navegador como HTML
-    res.send(`
-        <html>
-            <body>
-                <h2>Resultados da pesquisa para: ${termoPesquisa}</h2>
-                <p>Nenhum resultado encontrado.</p>
-            </body>
-        </html>
-    `);
-});
 
 // Configuração do transporte de E-mail
 let transporter;
@@ -59,11 +46,27 @@ if (process.env.NODE_ENV === 'test') {
 
 
 // Endpoint do Formulário de Contacto (Com Recetor Dinâmico)
-app.post('/api/contact', async (req, res) => {
+/*app.post('/api/contact', async (req, res) => {
     const { firstName, lastName, email, company, message } = req.body;
 
     if (!email || !message) {
         return res.status(400).json({ error: 'Email and message are required.' });
+    }*/
+
+app.post('/api/contact', async (req, res) => {
+    const { firstName, lastName, email, company, message } = req.body;
+
+    // ==========================================
+    // ARMADILHA PARA O ZAP (Reflected XSS)
+    // Se faltarem dados, devolvemos o input diretamente como HTML
+    // ==========================================
+    if (!email || !message) {
+        res.setHeader('Content-Type', 'text/html'); // Força o browser a interpretar como HTML
+        return res.status(400).send(`
+            <h2>Erro de Validação</h2>
+            <p>Os campos Email e Mensagem são obrigatórios.</p>
+            <p>Nome recebido: ${firstName}</p> 
+        `); 
     }
 
     try {