Kali Linux渗透测试 079 扫描工具-OWASP_ZAP

最新推荐文章于 2024-07-27 09:56:32 发布
最新推荐文章于 2024-07-27 09:56:32 发布
阅读量5.4k 收藏 9
点赞数
分类专栏： kali-linux 文章标签： kali-linux
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/Kevinhanser/article/details/79478644
版权

本文记录 Kali Linux 2018.1 学习使用和渗透测试的详细过程，教程为安全牛课堂里的《Kali Linux 渗透测试》课程

Kali Linux渗透测试（苑房弘）博客记录

  1. OWASP_ZAP 项目简介
  2. 简单使用
  3. API
  4. 基本设置
  5. OWASP_ZAP 测试的主要流程

1. OWASP_ZAP 项目简介

  • 项目简介

    OWASP Zed Attack Proxy（ZAP）是全球最受欢迎的免费安全工具之一，由数百名国际志愿者积极维护*。它可以帮助您在开发和测试应用程序时自动查找Web应用程序中的安全漏洞。它也是经验丰富的测试者用于手动安全测试的好工具。

OWASP是一个开源的、非盈利的全球性安全组织，致力于应用软件的安全研究。我们的使命是使应用软件更加安全，使企业和组织能够对应用安全风险作出更清晰的决策。目前OWASP全球拥有220个分部近六万名会员，共同推动了安全标准、安全测试工具、安全指导手册等应用安全技术的发展。

近几年，OWASP峰会以及各国OWASP年会均取得了巨大的成功，推动了数以百万的IT从业人员对应用安全的关注以及理解，并为各类企业的应用安全提供了明确的指引。

OWASP在业界影响力：
OWASP被视为web应用安全领域的权威参考。2009年下列发布的美国国家和国际立法、标准、准则、委员会和行业实务守则参考引用了OWASP。美国联邦贸易委员会(FTC)强烈建议所有企业需遵循OWASP十大WEB弱点防护守则
国际信用卡数据安全技术PCI标准更将其列为必要组件
为美国国防信息系统局（DISA)应用安全和开发清单参考
为欧洲网络与信息安全局（ENISA), 云计算风险评估参考
为美国联邦首席信息官（CIO)理事会，联邦部门和机构使用社会媒体的安全指南
为美国国家安全局/中央安全局， 可管理的网络计划提供参考
为英国GovCERTUK提供SQL注入参考
为欧洲网络与信息安全局（ENISA), 云计算风险评估提供参考
OWASP TOP 10为IBM APPSCAN、HP WEBINSPECT等扫描器漏洞参考的主要标准

  • 链接

    国内链接：ZAP中国：http://www.owasp.org.cn/

    官网链接：ZAP下载地址：https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

    GITHUB 下载:GITHU

  • 启动

2. 简单使用

  • 选择会话保存方式

  • 浏览器设置代理

  • owasp-zap 查看截获的代码

  • 可以使用代理手动点击站内所有链接进行手动爬网

  • 查看请求

  • 查看警告

  • 主动扫描

  • 主动扫描

  • Fuzzer 测试

  • 或者模糊测试

  • 注入成功的查找

  • 暴力破解

3. API

4. 基本设置

  • 扫描模式

    safe mode ： 保护目标系统，安全性扫描，防止系统挂死

  • 升级 add-ons

  • 扫描策略

    1

  • 反 csrf 令牌

  • OWASP_ZAP 代理模式中访问 https 不信任 CA 问题

    将证书保存然后导入 浏览器

  • Scope / Contexts / filter：限制扫描范围

    凡是有狙击准星的都包含在 scope 中


    准星的作用类似于 “感兴趣” 标记

  • 身份认证方法：Http Sessions——default session tokens & site session tokens

    一般建议使用 cookies


    使用 manual 方式，使用浏览器手动输入账号密码，owasp_zap 默认临时性将 session 保存在本地，然后之后再扫描就自动化提取 session 完成扫描

    • 基于表单

    • 基于脚本


    • 设置 cookies 内容

      默认只有 PHPSESSID


      设置添加 security


      使用 浏览器 重新登录，刷新页面


      多用户身份的 PHPSESSID 切换

  • 代理截断

5. OWASP_ZAP 测试的主要流程

  1. 设置代理

    设置浏览器代理

  2. 手动爬网

    手动点击网站内所有的链接， owasp_zap 会收到所有的数据

  3. 自动爬网

    使用自动爬网攻击

  4. 主动扫描

    把爬网发现的每一个变量都进行攻击测试


    扫描结果

网络安全打工人
关注
专栏目录
OWASP ZAP.zip
08-15
OWASP ZAP，web安全扫描器，
kali linux渗透测试之漏洞扫描
热门推荐
qq_57223070的博客
09-26 1万+
skipfish、nessus、AWVS、nikto的简单使用及功能倾向介绍。
OWASP ZAP：一款功能强大的开源Web安全扫描工具
最新发布
Coder加油站的专栏
07-27 1878
OWASP ZAP是一个功能强大的Web应用程序安全扫描工具，适用于各种开发、测试和生产环境。通过自动扫描、手动测试、被动扫描和主动扫描等多种功能，ZAP能够帮助用户全面评估Web应用程序的安全性。此外，ZAP还提供了强大的API、插件和扩展功能，可以与CI/CD流水线集成，自动化地进行安全测试
如何利用Kali Linux进行网站渗透测试：最常用工具详解
weixin_43263566的博客
05-13 7183
Kali Linux 2022.4虚拟机中常用的渗透测试工具介绍
KeyarchOS安装OWASP Zed Attack Proxy (ZAP）工具
m0_63147799的博客
07-19 47
OWASP Zed Attack Proxy（ZAP）是世界上最受欢迎的免费安全审计工具之一，由数百名国际志愿者积极维护。它可以帮助您在开发和测试应用程序时自动查找Web应用程序中的安全漏洞。也可以说：ZAP是一个中间人代理。它允许您查看您对Web应用程序发出的所有请求以及您从中收到的所有响应。即可以用于安全专家、开发人员、功能测试人员，甚至是渗透测试入门人员。它也是经验丰富的测试人员用于手动安全测试的绝佳工具。更多详细信息见ZAP官网。
OWASP-ZAP扫描器的使用
墨鱼菜鸡
11-15 397
目录 OWASP-ZAP 更新 代理 目录扫描 主动扫描(Active Scan) 扫描结果 生成报告 OWASP-ZAP OWASP Zed攻击代理(ZAP)是世界上最受欢迎的免费安全审计工具之一，由数百名国际志愿者积极维护。它可以帮助你在开发和测试应用程序时自动查找Web应用程序中...
渗透测试Web扫描器——OWASP_ZAP
hackzkaq的博客
10-14 4354
配套练手靶场，全套安全课程及工具 ，搜索公众号：白帽子左一 OWASP ZAP 一、简介 OWASP ZAP 攻击代理（ZAP）是世界上最受欢迎的免费安全审计工具之一，ZAP可以帮助我们在开发和测试应用程序过程中，自动发现 Web应用程序中的安全漏洞。 另外，它也是一款提供给具备丰富经验的渗透测试人员进行人工安全测试的优秀工具。 二、优缺点 1.优点 免费的web application 扫描器 更加集成性，更加完整，功能更加完善，用途更加广泛，平台稳定性也更加好的web扫描器 2.缺点 现阶段ZAP的中
Kali linux 学习笔记（四十三）Web渗透——扫描工具之OWASP_ZAP 2020.3.19
闵行小鱼塘
03-19 1218
扫描工具之OWASP_ZAP
OWASP_ZAP
02-14
OWASP_ZAP-Kali Linux 2020.2 https://www.zaproxy.org/download/ https://github.com/zaproxy/zaproxy/releases/ 在线安装 curl -s https://raw.githubusercontent.com/nu11secur1ty/OWASP_ZAP/master/zap.sh | ...
kali渗透学习-web渗透OWASP_ZAP扫描
weixin_43239236的博客
01-23 624
OWASP_ZAP OWASP_ZAP扫描器不同于之前介绍的Web扫描器： 是一个更完善，集成更多功能的Web扫描器，开源免费跨平台 OWASP_ZAP2.0是Kali自带的，不像之前介绍的Arachni，需要自己再下载 准备调试 打开后接受协议，第一次进入需要选择Session会话配置： 推荐选择第二个选项，这样每一次进入就不会是一个全新的会话，而是会加载之前的 找一个目录来保存OWASP_ZAP的会话信息： 一旦启动了OWASP_ZAP，默认就会启动代理，这时候就需要到浏览器设置（截断代理）：代理
Kali扫描 owasp_zap的使用
胡乱写点什么
08-01 1911
Kali——WEB渗透（八） 学习web渗透过程中的心得体会以及知识点的整理，方便我自己查找，也希望可以和大家一起交流。 —— 扫描：OWASP_ZAP—— 一.使用 （1）.截断代理 所有截断代理的结果都在左侧"Sites"中显示。 代理侦听端口为8080。 可以将每次扫描结果保存，在下一次打开QWASP_ZAP时可以再次打开这些会话。 （2）.更新插件 图形化界面：工具栏“Manage ...
ZAP安全扫描工具
surge
06-27 288
再选择手动扫描后 获取到对应的token。需要登录的网站建议使用主动扫描。也可以绕过登录进行手动扫描。
Kali安装OWASP
weixin_48876267的博客
10-22 3575
我是2019版的kali,里面并没有自带OWASP工具,因为OWASP不再更新的因素，所以新版kali将它移除了 安装OWASP apt-get install zaproxy #以下都是安装软件时遇到的问题 kali配置为NAT,kali配置为dhcp自动分配 ping www.baidu.com //ping不通百度,DNS设置问题,修改DNS配置文件 配置DNS文件 vim /etc/resolv.conf # Generated by NetworkManager search
【安全测试zap扫描】OWASP ZAP安全扫描
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
10-12 2662
本文主要记录在OWASP ZAP安装及使用过程中的步骤及遇到的问题。OWASP ZAP安全扫描工具使用较为方便，主要可以用于渗透性测试，类似用抓包工具，在浏览器和服务器之间，可以对信息进行分析和扫描。linux 包下载下来后是ZAP_2.11.1_Linux.tar.gz，拷贝到linux服务器指定目录下，解压后，进入zap_2.11.1文件夹，可以看到有zap.sh脚本；直接修改zap.sh同级目录中的xml文件夹中的config.xml，将replacer的配置手动写入到config.xml中；具体的内
（转）OWASP ZAP下载、安装、使用（详解）教程
diliu5480的博客
02-11 5438
OWASP Zed攻击代理（ZAP）是世界上最受欢迎的免费安全审计工具之一，由数百名国际志愿者*积极维护。它可以帮助您在开发和测试应用程序时自动查找Web应用程序中的安全漏洞。 也可以说：ZAP是一个中间人代理。它允许您查看您对Web应用程序发出的所有请求以及您从中收到的所有响应。 即可以用于安全专家、开发人员、功能测试人员，甚至是渗透测试入门人员。它也是经...
Web渗透_扫描工具OWASP_ZAP
分享学习网络的点点滴滴
07-18 1580
OWASP_ZAPWEBApplicaiton系统渗透测试和漏洞挖掘工具开源免费跨平台简单易用截断代理主动、被动扫描Fuzzy、暴力破解APIhttp//zap/需要浏览器开启代理。
了解owasp zap扫描器
贝隆的博客
02-04 828
owasp zap扫描器
【网络安全学习】漏洞扫描：-04- ZAP漏洞扫描工具
Zane的博客
06-21 2336
漏洞扫描：ZAP工具的基础使用
OWASP_ZAP dvwa
09-14
OWASP ZAP 是一个开源的安全测试工具，用于评估和测试 Web 应用程序的安全性。它提供了许多功能，包括扫描和攻击 Web 应用程序，查找潜在的漏洞和安全问题。 关于 OWASP ZAP 和 DVWA 的关系，DVWA 是一个特别设计的用于安全测试的漏洞Web应用程序。它旨在帮助开发人员和安全专家测试和评估他们的应用程序的安全性。OWASP ZAP 可以与 DVWA 结合使用，以进行安全测试和漏洞扫描。 要使用 OWASP ZAP 和 DVWA 进行安全测试，您可以按照以下步骤进行操作： 1. 首先，下载和安装 Kali Linux 系统，因为 Kali Linux 包含了 OWASP ZAP 和 DVWA 的实验环境。您可以从官方网站 https://www.kali.org/downloads/ 下载 Kali Linux。 2. 接下来，您需要下载和安装 OWASP ZAP。您可以从 OWASP ZAP 的官方网站 https://www.zaproxy.org/download/ 下载适用于您的操作系统的版本。 3. 安装完 OWASP ZAP 后，您可以打开它并导航到 DVWA 的页面。DVWA 的页面可以在 Kali Linux 的应用程序菜单中找到。 4. 在 DVWA 的页面上，您可以进行各种安全测试和漏洞扫描。OWASP ZAP 提供了 API，可以用于编程调用 OWASP ZAP 的功能，以定制化您的扫描器。 5. 通过 OWASP ZAP 的 API，您可以编写自己的脚本和程序，以自动化安全测试和漏洞扫描的过程。 总结起来，OWASP ZAP 是一个功能强大的安全测试工具，而 DVWA 是一个用于安全测试的漏洞Web应用程序。您可以使用 OWASP ZAP 和 DVWA 进行安全测试和漏洞扫描，同时还可以通过 OWASP ZAP 的 API 进行定制化编程。这样可以帮助您评估和测试 Web 应用程序的安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值