【知识科普】安全测试OWASP ZAP简介

开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信赖软件。开放式Web应用程序安全项目（OWASP）是一个非营利组织，不附属于任何企业或财团。

项目种类

因此，由OWASP提供和开发的所有设施和文件都不受商业因素的影响，现在OWASP每年超过600W访问者，拥有了93个活跃项目。在OWASP的官网中所有的项目主要分为了三种：

Tool Projects（工具类项目）：工具类项目提供了各种各样的安全扫描工具，ZAP就是其中之一。

Documentation Projects（文档类项目）：文档类项目提供的是安全扫描的各种文档类指导

Code Projects（代码类项目）：代码类项目则是OWASP维护的开源工具代码。

什么是ZAP

ZAP则是OWASP里的工具类项目，也是旗舰项目，全称是OWASP Zed attack proxy，是一款web application 集成***测试和漏洞工具，同样是免费开源跨平台的。

ZAP主要覆盖了安全性测试里***测试即对系统进行模拟***和分析来确定其安全性漏洞。ZAP能够以代理的形式来实现***性测试，它将自己和浏览器之间设置一个中间人的角色，浏览器与服务器的任何交互都将经过ZAP，ZAP则可以通过对其抓包进行分析、扫描。

同时，ZAP适用于所有的操作系统和Docker的版本，而且简单易用，还拥有强大的社区，能够在互联网上找到多种额外的功能插件。介绍完这么多，我们来看一下ZAP的基本功能。

ZAP的基本功能

在https://www.zaproxy.org/ ZAP官方网站下载完对应操作系统的客户端后，傻瓜式一键安装，我们便可以使用ZAP了。

ZAP提供了两种扫描方式，Automated Scan（自动扫描）和Manual Explore（手动扫描），如下图：

自动扫描，我们只要输入需要***的网址，以及Traditional Spider（抓取WEB程序中的HTML资源）和Ajax Spider（适用于有比较多Ajax请求的WEB程序）两个选项按钮，他就能开始检测我们的目标网址，并产生报告，如下：

我们还能在警报处看到对应的告警及建议坚决方案：

对于手动扫描而言，你需要选择***的网站和启动的浏览器，当你选择完后，会启动该网站的浏览器，并拥有ZAP的各种测试工具。

在这个特定的浏览器里，你能够开启、关闭扫描，查看报告，查看告警等多种功能。在所有的扫描中ZAP主要做了以下几件事：

• 使用爬虫抓取被测站点的所有页面；
  

• 在页面抓取的过程中被动扫描所有获得的页面；
  

• 抓取完毕后用主动扫描的方式分析页面，功能和参数。
  

其他功能

在执行完***扫描后，ZAP还能提供多种形式的报告，包括XML、HTML、Markown、JSON格式，方便基于数据去做二次开发。在HTML报告中，能清晰的看到所有的告警描述、告警地址、请求方法、解决方案等信息，方便指导安全人员，开发人员解决告警。

另外ZAP还能基于JSON、Script、表单等方式进行鉴权，来扫描一些必须要登录才能扫描的网站。可以通过导入证书访问不受信任的https网站，可以设置网络代理来实现不同网络的访问，还可以设置CSRF Token来添加一些有防止CSRF的网站阻止访问。这也就是为什么ZAP是可以从新手到安全专家都能使用的安全***工具。

其他优质文章

jmeter无法满足敏捷理念怎么办，使用二次开发集中管理！

【知识科普】广泛应用的敏捷开发方法论，极限编程与持续集成！

【Azure】混合环境下的身份验证

【经验分享】银行应用运维平台设计与建设建议

【原型设计】如何利用Axure实现下拉子菜单？