owasp-zap

什么是owasp-zap

ZAP以架设代理的形式来实现渗透性测试，类似于burp抓包机制。
他将自己置于用户浏览器和服务器中间，充当一个中间人的角色，浏览器所有与服务器的交互都要经过ZAP，这样ZAP就可以获得所有这些交互的信息，并且可以对他们进行分析、扫描，甚至是改包再发送。

1. 启动owasp-zap
   
2. 浏览器设置代理
   代理设置好后，访问任何流量都会经过owasp-zap
   

---

功能

1. 爬取页面
   
   输入的账号/密码都有记录
   
2. 主动攻击
   可以直接使用url或者使用爬取到的页面右键发送到攻击块
   
   扫描结果
   
   
   还有详细描述，包括攻击语句和描述以及防御方法
   
3. 扫描目录
   工具–>fuzz
   
   选择一个起始页面
   
   生成一个请求包
   
   添加一个变量，然后可以选一个字典来跑目录

结果