02. 定番ツールの役割分担 🧰¶
🔊 音声で聴く
「Metasploit・nmap・Burp Suite・ZAP」——名前はよく聞くが、何を対象に、何をするものか？ それぞれ守備範囲が違います。ここを押さえると、場面に応じて道具を選べます。
4つの道具・早見表¶
flowchart TB
NMAP["nmap<br>ネットワーク層"] --> MSF["Metasploit<br>サーバー・サービス層"]
NMAP --> WEB["Burp Suite / ZAP<br>Web アプリ層"]
style NMAP fill:#2d333b,stroke:#3fb950,stroke-width:2px,color:#e6edf3
style MSF fill:#2d333b,stroke:#f85149,stroke-width:2px,color:#e6edf3
style WEB fill:#2d333b,stroke:#58a6ff,stroke-width:2px,color:#e6edf3| ツール | 対象 | 何をする | 公式 |
|---|---|---|---|
| nmap | ネットワーク/ポート | どのポートで何が動くか偵察 | nmap.org |
| Metasploit | サーバー・サービス | 既知脆弱性を突いて侵入・侵入後操作 | metasploit.com |
| Burp Suite | Web アプリ | 通信をプロキシで横取りして検査（手動中心） | portswigger.net |
| OWASP ZAP | Web アプリ | Web脆弱性を自動スキャン | zaproxy.org |
💡 まず nmap で入口を把握 → サーバーの穴なら Metasploit、Web アプリの穴なら Burp / ZAP。 相手が「古いサーバーソフト」か「自作 Web アプリ」かで、使う道具が変わります。
このノートの本筋（nmap → Metasploit → meterpreter）は「サーバーへの侵入」の流れです。
Burp Suite と OWASP ZAP の違い¶
どちらも「ブラウザとサーバーの間に入って通信を見る（プロキシ）」ツールですが、性格が違います。
| 観点 | Burp Suite | OWASP ZAP |
|---|---|---|
| ライセンス | 商用（無料版は機能制限） | 完全無料・OSS |
| 主な使い方 | 手動で精密に（プロの定番） | 自動スキャン |
| CI/CD 自動化 | 無料版は不向き | 組み込みやすい ⭐ |
- Burp の強み：拡張（BApp）が豊富。Autorize 拡張で、権限の低いユーザーが本来見えないデータにアクセスできる脆弱性（BAC / IDOR）まで半自動で検査できる。BAC / IDOR は OWASP Top 10 上位の重大な穴で、スキャナでは見つけにくく手動検証が効く。
- ZAP の強み：完全無料の OSS なので、ライセンスを気にせず CI/CD に組み込める。「コミットのたびに自動で Web 脆弱性スキャンを回す」用途で有利。