owasp-zap

OWASP ZAP 是面向 Web 与 API 安全测试的工具，本技能用于在授权渗透测试中开展以 OWASP 为重点的测试工作。

用途 当测试工作需要一个代理、基线扫描器或可重复的 Web 验证流程时，使用本技能进行面向 OWASP Top 10 的 Web 与 API 测试。

阶段定位 主要阶段：漏洞分析。 次要阶段：验证与受控影响演示、复测与关闭。

适用情形 需要与常见 OWASP 类别对齐的基线 Web 扫描。 需要基于代理的请求检查或重放。 需要在修复后进行可重复的 Web 复测。

不适用情形 目标工作流高度有状态，需要比所选扫描模式提供更多手工控制。 自动化扫描会超出已批准的影响级别。

输入 已批准的 Web 目标或 API 基础 URL。 认证上下文、扫描深度与排除项。 输出与证据要求。

流程

1. 先进行被动或基线分析，再进行主动检查。
2. 将扫描范围限定在已批准的应用区域。
3. 在升级前人工验证重要发现。
4. 记录所使用的确切扫描配置与排除项。
5. 保留扫描路径以便复测。

命令语法 以下示例中的目标应替换为已批准的范围内 URL。

通过 Docker 进行被动基线扫描

docker run -t owasp/zap2docker-stable zap-baseline.py -t https://portal.contoso.com -r contoso-zap-report.html

通过 Docker 进行完整主动扫描

docker run -t owasp/zap2docker-stable zap-full-scan.py -t https://portal.contoso.com -r contoso-full.html

针对 OpenAPI 规范的 API 扫描

docker run -t owasp/zap2docker-stable zap-api-scan.py -t https://api.contoso.com/openapi.json -f openapi -r contoso-api.html

以守护进程方式启动 ZAP（本地安装）

zaproxy -daemon -host 127.0.0.1 -port 8080

从命令行快速扫描 URL

zaproxy -cmd -quickurl https://portal.contoso.com -quickout contoso-zap.html

需保存的证据 与 OWASP 类别相关的已确认 Web 发现。 所使用的确切目标、认证上下文与扫描配置。 用于复测的最小复现路径。

安全边界 从被动方式开始，并将主动检查保持在已批准范围内。 在人工确认之前，将扫描器输出视为分类输入。

收费、价格、平台支持范围等资料暂未提供。