信息安全技术（二）— 使用ZAP代理查看和修改请求

1.概述

OWASP_ZAP与Burp Suite类似。OWASP ZAP不仅可以拦截流量，还有很多其他的功能，比如爬虫、漏洞扫描器、模糊测试和暴力破解等。

OWASP ZAP还有一个脚本引擎，可以用来自动化的执行或者创建新的功能。 在这本节中，将使用OWASP_ZAP作为web代理，拦截请求，并在更改一些值后发送到服务器。

OWASP Zed攻击代理（ZAP）是世界上最受欢迎的免费安全审计工具之一，由数百名国际志愿者积极维护。它可以帮助你在开发和测试应用程序时自动查找Web应用程序中的安全漏洞。

也可以说ZAP是一个中间人代理。它能够获取你对Web应用程序发出的所有请求以及你从中收到的所有响应。

它即可以用于安全专家、开发人员、功能测试人员，甚至是渗透测试入门人员。它也是经验丰富的测试人员用于手动安全测试的绝佳工具。

OWASP-ZAP可以在windows、linux和mac下运行，Kali中自带OWASP-ZAP

OWASP-ZAP主要拥有以下重要功能：

• 本地代理
• 主动扫描
• 被动扫描
• Fuzzy
• 暴力破解

虽然OWASP-ZAP拥有很多的功能，但是他最强大的功能还是主动扫描，可以自动对目标网站发起渗透测试，可以检测的缺陷包括路径遍历、文