渗透测试工具ZAP入门教程（3）-渗透测试扫描流程

使用ZAP对网站进行渗透测试流程如下：

ZAP启动浏览器

输入URL，点击启动浏览器，在打开的浏览器登录要扫描的网站

在打开的浏览器上进行需要测试的流程操作。

ZAP会记录操作过程中的HTTP请求。

spider爬虫

点击Spider Start按钮，爬取静态地址，防止有遗漏。

使用 ZAP 的 Spider 功能进行扫描时，默认情况下会扫描当前页并自动探测整个网站，并构建一个全面的页面列表。然后，ZAP 将使用这个页面列表来进行更全面的安全扫描。因此，ZAP 的 Spider 扫描将涵盖整个网站的所有页，而不仅仅是当前页。这样可以帮助你发现整个网站中的潜在漏洞。

也可以直接在ZAP界面，选择spider，新建扫描

Ajax Spider

点击Ajax Spider Start按钮，爬取ajax地址，防止有遗漏

主动扫描

方法一：

点击Active Scan Start，开始使用默认配置对前三步记录的地址进行扫描（页面操作有时候不会开始扫描，可以用方法二或三）。

方法二：

在ZAP界面，在需要攻击的网站上右键->攻击->主动扫描。

方法三：

选中主动扫描，新建扫描

主动扫描会比较慢，可以点击查看扫描进度。

ZAP基于这些规则，对页面操作时记录的HTTP请求进行攻击，检查是否存在对应问题。

 

查看警报

导出测试报告

 报告->生成报告，在下方选择站点，点击生成报告。