福州工程建设信息网站,网站开发要跑道吗,泰安公司做网站,网上做调查网站**ZAP(Zed Attack Proxy)**是一款由OWASP组织开发的免费且开源的安全测试工具。
ZAP支持认证、AJAX爬取、自动化扫描、强制浏览和动态SSL证书等功能。
1️⃣ 安装zap工具
现在的kali版本不一定会预装zap#xff0c;我们可以自行安装#xff0c;安装也十分简单。
apt-get …**ZAP(Zed Attack Proxy)**是一款由OWASP组织开发的免费且开源的安全测试工具。
ZAP支持认证、AJAX爬取、自动化扫描、强制浏览和动态SSL证书等功能。
1️⃣ 安装zap工具
现在的kali版本不一定会预装zap我们可以自行安装安装也十分简单。
apt-get install zaproxy -y安装完成后点击左上角的图标搜索zap点击打开即可 第一次打开会要求进行更新 2️⃣ 设置代理
设置代理是为了让所有的请求和响应都能被ZAP工具拦截和检查。
设置ZAP代理
ZAP工具默认使用8080端口开启HTTP代理如果需要修改依次点击**【工具】→【选项】→【网络】→【本地服务器/代理】**进行修改如下图所示 设置浏览器代理
这里以FireFox浏览器举例
在Firefox中单击**【工具】→【设置】在打开的界面中找到【网络设置】并单击【设置】按钮。在【连接设置】对话框中可以选择【手动配置代理】然后在【HTTP代理】文本框中填写ZAP工具的代理地址在【端口】**文本框中输入ZAP的端口号。 3️⃣ 设置证书
访问HTTPS链接的时候需要将浏览器代理设置中选择**【也将此代理用于HTTPS】**再将ZAP生成的证书导入浏览器。
ZAP生成证书
【工具】→【选项】→【网络】→【服务器证书】→【保存】 FireFox中导入证书
【工具】→【设置】→【隐私与安全】→【证书】→【查看证书】 4️⃣ 开始扫描 执行主动扫描
在配置完代理和证书后选择需要进行主动扫描的目标网站或URL之后ZAP工具会自动发送不同的攻击载荷并根据响应判断是否存在漏洞。
为了快速发起主动扫描单击**【自动扫描】选项然后在弹出的界面中输入要攻击的URL并选择【使用传统爬虫】和【使用ajax爬虫】**复选框这样可以让ZAP工具对网站下的各个页面进行扫描而不仅仅针对首页或单个URL。 单击**【攻击】执行主动扫描。扫描完成后会在警报栏中显示扫描结果会以高、中、低、信息**这些级别进行分类。 单击每个报警会有详细的信息以及建议以跨站脚本攻击为例 生成报告
选择**【报告】→【生成报告】**在弹出的选项卡中选择并生成报告默认生成的报告为html文件。 点击**【生成报告】**后会自动弹出报告 手动探索
在进行手动探索时ZAP工具不会自动发送攻击载荷而是由渗透测试人员根据需要选择或编辑不同的参数和值后自行发送。
首先设置ZAP和浏览器的代理这个之前已经设置过了。
接下来需要在ZAP中启动代理浏览器来访问目标网站。
选择**【手动浏览】**并选择代理浏览器并启动 在访问URL时ZAP工具会记录所有的请求和响应并显示在网站树和历史记录中。
图中是我之前做了个ping的操作 我们可以从这些记录中选择任意一个请求或响应并进行修改或重发如下所示
5️⃣ 小结
通过以上介绍我们了解了如何使用ZAP工具对网站执行扫描以发现其存在的安全漏洞。
当然ZAP工具还有很多其他功能和特性例如被动扫描、暴力破解、Web套接字支持等可自行探索。 请不要使用以上技术损害他人利益这些均为技术研究请遵守相关的法律法规谢谢
