Web漏扫工具OWASP ZAP安装与使用

一、OWASP ZAP简介

开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。ZAP则是OWASP里的工具类项目，也是旗舰项目，全称是OWASP Zed attack proxy，是一款web application 集成渗透测试和漏洞工具，同样是免费开源跨平台的。
ZAP是一个中间人代理，浏览器与服务器的任何交互都将经过ZAP，ZAP则可以通过对其抓包进行分析、扫描。
ZAP官方网站：

https://www.zaproxy.org/download/

安装环境

windows环境：Windows 10 专业版 22H2 
jdk版本：jdk-17_windows-x64_bin.exe
ZAP版本：ZAP_2_12_0_windows.exe

windows下安装，exe文件执行，下一步即可完成安装。

注意：ZAP依赖于jdk环境，需要预先安装jdk。

JDK安装方法：https://www.runoob.com/java/java-environment-setup.html

JDK下载路径：https://www.oracle.com/java/technologies/downloads/

二、OWASP ZAP安装

① ZAP支持在Windows、Linux、MacOS等平台上运行，可以在官网直接下载数据包，Windows和Linux版本需要运行Java 11或更高版本。

② Kali Linux系统中，内置了ZAP软件，可直接使用：

如未安装，可以使用以下方法获取安装命令

访问kali官方工具网站：https://www.kali,org/tools

搜索关键词：owasp-zap

三、OWASP ZAP使用

保持会话

保存会话会将会话结果记录到数据库中，不保存则会在退出ZAP时被删除。

用户界面

自动扫描
点击“快速开始”–>“Automated Scan”，输入要攻击的完整URL，可以选择勾选spider，ZAP提供spider进行Web的页面扫描，发现所有的页面。对于AJAX应用程序，可使用AJAX spider。点击“攻击”开始扫描。
扫描结果
点击攻击后，ZAP便开始爬取Web应用程序，展示扫描的进度与每个页面的请求和响应：