10 勘察：使用 ZAP 查找文件和目录

OWASP ZAP（Zed Attack Proxy）是一个全能的 Web 安全测试工具。它包含以下功能：Proxy、被动和主动漏洞扫描器、Fuzzer、Spider、HTTP Request Sender以及其它很多有趣的功能。这篇文章，我们将体验 ZAP 最近刚刚加入的 “Forced Browse”，是一款在 ZAP 中对 DirBuster 的实现功能。

实施步骤

首先，打开我们的漏洞靶机：Vulnerable_VM 【配置参见：测试环境搭建】

这里，我们需要 owasp-zap 成为浏览器的代理。
现在我们在 Kali 上打开 owasp-zap 软件 （Applications -> 03 - Web Application Analysis -> owasp-zap）。

owasp-zap

打开Iceweasel，Edit -> Preference -> Advanced -> Network -> Settings，如下图：

Settings

在弹出的窗口配置代理，如下图红圈所示，配置完后点击 OK：

配置代理

现在回到 oswasp-zap ，点击 Tools -> Options -> Force Browse，然后点击 Select File...

Paste_Image.png

Kali 本身自带一些词汇清单，这里我们选择其中一个：
/usr/share/wordlists/dirbuster/directory-list-lowercase-2.3-small.txt
然后点击 Open

Paste_Image.png

点击 OK ，退出 Options 对话框，下面，打开浏览器，访问：
http://192.168.150.143/WackoPicko/
这里，我们看到，在访问 WackoPicko 站点的时候，ZAP 的 Sites 窗口以 Tree 视图显示了我们刚刚访问的资源页面：

Sites

现在，我们右击 WackoPicko 目录，选择 Attack -> Forced Browse directory，然后 ZAP 的下方将出现 Forced Browse 标签页，这里显示扫描的进度和结果：

Forced Browse

备注

Kali Linux 中另外一个很有用的代理是 BurpSuite。它里面有一个和 ZAP 的 Forced Browse 类似的功能叫做 Burp's Intruder。BurpSuite 也是一个多功能的工具，有时间可以自己尝试一下。