owasp Zap使用教程

一、安装

1、在OWASP Zap官网下载对应操作系统的ZIP文件。
2、解压文件到指定目录。
3、运行zap.sh (Linux/Mac) 或者zap.bat (Windows)。

linux: $ ./zap.sh

windows: > zap.bat

二、基础使用

1、打开Zap，并输入目标网站URL。
2、点击“启动扫描”按钮，等待扫描完成。
3、在“报告”选项卡中查看扫描结果。

三、扫描器设置

1、配置主机代理，将浏览器流量导入Zap中，确保能够获取正确的流量数据。
2、在“扫描”选项卡中设置扫描的范围，如URL、cookie、header、referrer等。
3、设置不同的扫描策略和插件，可以提升扫描效果和准确率。例如，使用“爬虫”插件可以抓取网站中隐藏的链接和资源，使用“Fuzzing”插件可以批量测试输入参数的安全性。
4、设置扫描速度和线程数，平衡效率和资源消耗的关系。

// 设置代理端口为8888

HttpHost proxy = new HttpHost("localhost", 8888);

DefaultProxyRoutePlanner routePlanner = new DefaultProxyRoutePlanner(proxy);



// 初始化HttpClient

CloseableHttpClient httpclient = HttpClients.custom()

    .setRoutePlanner(routePlanner)

    .build();

四、安全漏洞检测

1、在“漏洞”选项卡中查看扫描结果，包括OWASP Top 10中的常见漏洞类型：SQL注入、XSS、CSRF、Session Hijacking等。
2、对漏洞进行分类和过滤，方便后续处理和排查。
3、在“漏洞详情”中查看漏洞的具体信息和建议修复方案，参考OWASP推荐的安全开发实践。

POST /api/login HTTP/1.1

Host: 127.0.0.1

Cookie: PHPSESSID=123456789

Content-Type: application/x-www-form-urlencoded

Content-Length: 19



username=admin&password=123456

五、其他功能

1、强制数据包拦截和修改，手动测试漏洞利用和修复效果。
2、自定义脚本和插件，扩展Zap的功能和适应特定需求。
3、支持导入和导出数据文件、配置文件和代理证书等，便于协作和持续集成。

// 获取所有拦截的请求和响应

List<HttpMessage> msgs = Model.getSingleton().getMessages(...);

for (HttpMessage msg : msgs) {

    // 修改请求或响应中的字段

    msg.getRequestHeader().setHeader("User-Agent", "Mozilla/5.0");

    msg.getResponseHeader().setHeader("Content-Type", "application/json");

    // 更新消息标记，标记为modified

    Model.getSingleton().getHttpSender().sendAndReceive(msg, false);

}