MAY 30, 2022 (UPDATED: JUL 13, 2025)

An Introduction to Zest

Zest: A scripting language for security testing

Zest는 Mozilla 보안팀에서 개발한 JSON/YAML 기반의 스크립팅 언어입니다. 현재는 ZAP Core 프로젝트의 일부로 관리되고 있으며, HTTP Request/Response 처리, Headless Browser 제어, Assertion을 이용한 테스트 등을 통해 자동화된 보안 테스트 시나리오를 작성하고 실행할 수 있습니다.

개인적으로 ZAP에서 자동화 스크립트를 작성할 때 가장 선호하는 언어입니다.

What is Zest?

Zest 스크립트는 기본적으로 아래와 같은 구조를 가집니다. 최근에는 YAML 포맷도 지원하게 되어 JSON보다 훨씬 편하게 작성할 수 있게 되었습니다.

JSON Format

{
  "about": "Zest에 대한 설명",
  "zestVersion": "0.8",
  "title": "스크립트 이름",
  "description": "스크립트 설명",
  "prefix": "https://www.hahwul.com",
  "type": "StandAlone",
  "parameters": {
    "tokenStart": "{{",
    "tokenEnd": "}}",
    "tokens": {},
    "elementType": "ZestVariables"
  },
  "statements": [],
  "authentication": [],
  "index": 0,
  "enabled": true,
  "elementType": "ZestScript"
}

YAML Format

about: Zest에 대한 설명
zestVersion: '0.8'
title: 스크립트 이름
description: 스크립트 설명
prefix: 'https://www.hahwul.com'
type: StandAlone
parameters:
  tokenStart: '{{'
  tokenEnd: '}}'
  tokens: {}
  elementType: ZestVariables
statements: []
authentication: []
index: 0
enabled: true
elementType: ZestScript

Interfaces

Zest를 사용할 수 있는 몇 가지 방법이 있습니다.

ZAP GUI

Zest는 ZAP의 내장 스크립팅 엔진이므로, ZAP GUI를 통해 직관적으로 스크립트를 작성하고 관리할 수 있습니다.

Zest CLI

Zest는 ZAP 라이브러리로 동작하지만, 독립적인 CLI 인터페이스도 제공합니다. 별도로 빌드하거나, 제가 만들어 둔 zest-env Docker 이미지를 사용하면 Github Action 등 다양한 환경에서 간편하게 사용할 수 있습니다.

https://github.com/hahwul/zest-env

docker pull hahwul/zest-env:v1.0.0
docker run hahwul/zest-env:v1.0.0 zest -script <YOUR-ZEST-SCRIPT>

How to Write

스크립트 작성 방법은 크게 세 가지로 나눌 수 있습니다.

ZAP Script Console

ZAP 내의 "Scripts" 탭과 "Script Console" 탭에서 GUI와 CLI를 통해 직접 코드를 작성하고 테스트할 수 있습니다.

ZAP Zest Record

ZAP에는 Zest Record 기능이 내장되어 있습니다. 레코딩을 시작하면 사용자의 웹 요청을 기록하여 Zest 스크립트의 초안을 자동으로 생성해 줍니다. 복잡한 흐름을 스크립트로 만들 때 매우 유용합니다.

TextEditor & IDE

물론 JSON/YAML 기반이므로 선호하는 텍스트 에디터나 IDE에서 직접 스크립트를 작성할 수도 있습니다. 다만 JSON은 직접 수정하기에 다소 번거로운 점이 있었는데, 2023년 9월에 YAML 포맷이 추가되면서 훨씬 수월해졌습니다.

Structure

Zest 스크립트는 몇 가지 핵심 구성 요소로 이루어져 있습니다.

 graph TD
    A[Start] --> B(Statement 1: Request);
    B --> C{Condition: if status == 200};
    C -- True --> D[Assertion: body contains 'login_success'];
    C -- False --> E[Action: Log 'Login Failed'];
    D --> F(Statement 2: ...);
    E --> F;
    F --> G[End];