网络安全工具篇之OWASP_ZAP

最新推荐文章于 2024-08-28 02:14:56 发布
最新推荐文章于 2024-08-28 02:14:56 发布
阅读量6k 收藏 26
点赞数 2
分类专栏： 网络安全工具
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zkaqlaoniao/article/details/120901789
版权

web安全 linux 渗透测试 运维 网络安全

目录

OWASP ZAP

一、简介

二、优缺点

三、安装

四、主要功能介绍

五、扫描网站实例

六、参考文章

如果文章对你有帮助，欢迎关注、点赞、收藏一键三连支持以下哦！

想要一起交流学习的小伙伴可以关注【黑客菌】,后台领取资料，私信拉群。共同学习进步

OWASP ZAP


一、简介

OWASP ZAP 攻击代理（ZAP）是世界上最受欢迎的免费安全审计工具之一，ZAP可以帮助我们在开发和测试应用程序过程中，自动发现 Web应用程序中的安全漏洞。另外，它也是一款提供给具备丰富经验的渗透测试人员进行人工安全测试的优秀工具。


二、优缺点


1.优点

  • 免费的web application 扫描器
  • 更加集成性，更加完整，功能更加完善，用途更加广泛，平台稳定性也更加好的web扫描器


2.缺点

  • 现阶段ZAP的中文支持做得还不是很好，基本的操作界面以英文为主。
  • 就插件而言，没有burpSuit工具丰富


三、安装

有Windows（64）安装程序、 Windows（32）安装程序、 Linux安装程序、 MacOS安装程序等。


1.下载地址

github地址：Downloads · zaproxy/zaproxy Wiki · GitHub

OWASP ZAP 官方下载地址：OWASP ZAP


2.下载注意

Windows下载下来的是exe的，双击就可以了！Linux下载后是.sh/tar.gz，直接用命令安装即可

Windows和Linux版本需要运行Java 8或更高版本JDK，MacOS安装程序包括Java 8；如果还有其他的问题，可能是java下载的不对，或没成功安装java。总之一定要下载、安装Java JDK


四、主要功能介绍


1.界面介绍

2.初次启动的session实例保存

  1. 将本次扫描结果保存到一个ZAP默认的路径中
  2. 将本次扫描结果保存到一个指定的路径中（推荐选第二个）
  3. 本次扫描结果不保存


3.默认侦听的端口是8080，如果要更改端口，则点击选项按钮进行修改即可


4.更新插件

Release：经过长期的测试使用，现在已经是正式发布的版本，很稳定。

Beta：不太成熟，但是已经推出来给大家使用，可能在使用过程中存在缺陷。

Alpha：比beta还要beta的版本，由于某种需求临时推出来的插件


5.扫描模式

安全： 以比较安全的方式去扫描网站，不会对网站做任何的破坏性的操作
保护：只对指定的网站做一些危险性的扫描
标准：会有一些危险的扫描动作，有可能对目标站点做一些破坏，但破坏不会很大
攻击：能扫多少扫多少，能有多猛就多猛。


6.证书安装


7.API

  • http://zap/ # 需要开启ZAP监听的情况下访问，该网站提供API方便开发人员使用


8.扫描策略

  1. 默认告警阈值：简单的理解为扫描器发现漏洞的信息强度，一般中等即可，防止漏报误报的情况。
  2. 默认攻击强度：参考扫描模式
  3. 应用的是阈值，To针对的是ZAP已安装的插件，除了这个之外，是可以单独调整不通插件的阈值和强度


9.常见选项的解释

  1. HTTP SESSIONS：更改不同的SESSIONS，可以让ZAP用不同的身份去扫描
  2. 防止CSRF：部分网站有防CSRF攻击，从而设置Token，该功能让ZAP允许进行CSRF测试，将网站的CSRF变量名写入即可。
  3. Passive Scan Rules：被动规则扫描的内容设置
  4. 检查更新：顾名思义


10.编码解码功能


五、扫描网站实例

1.访问网站后，在站点中会记录访问过的网址

2.选中目标网址，右键—>攻击—>主动扫描

3.在底部的标签栏中会显示测试的进度、测试发出的请求等等

4.在警报栏中可以看见扫出来的漏洞种类及数量

5.最后导出漏洞报告

漏洞报告文件在附件中

6.漏洞报告查看

7.漏洞手动检测

8.检测结果


六、参考文章

https://www.fujieace.com/kali-linux/owasp-zed-zap.html # OWASP ZAP下载、安装、使用（详解）教程

https://www.cnblogs.com/yingyingja/p/10219012.html # 安全性测试：OWASP ZAP使用入门指南

渗透测试老鸟-九青
关注
专栏目录
渗透测试Web扫描器——OWASP_ZAP
hackzkaq的博客
10-14 4400
配套练手靶场，全套安全课程及工具 ，搜索公众号：白帽子左一 OWASP ZAP 一、简介 OWASP ZAP 攻击代理（ZAP）是世界上最受欢迎的免费安全审计工具之一，ZAP可以帮助我们在开发和测试应用程序过程中，自动发现 Web应用程序中的安全漏洞。 另外，它也是一款提供给具备丰富经验的渗透测试人员进行人工安全测试的优秀工具。 二、优缺点 1.优点 免费的web application 扫描器 更加集成性，更加完整，功能更加完善，用途更加广泛，平台稳定性也更加好的web扫描器 2.缺点 现阶段ZAP的中
（转）OWASP ZAP下载、安装、使用（详解）教程
diliu5480的博客
02-11 5484
OWASP Zed攻击代理（ZAP）是世界上最受欢迎的免费安全审计工具之一，由数百名国际志愿者*积极维护。它可以帮助您在开发和测试应用程序时自动查找Web应用程序中的安全漏洞。 也可以说：ZAP是一个中间人代理。它允许您查看您对Web应用程序发出的所有请求以及您从中收到的所有响应。 即可以用于安全专家、开发人员、功能测试人员，甚至是渗透测试入门人员。它也是经...
软件测试学习笔记丨安全测试工具OWASP ZAP与Burp Suite
weixin_40558776的博客
08-28 238
本文转自测试人社区，原文链接：https://ceshiren.com/t/topic/31996注意：未经授权扫描第三方网站是违法的，请不要随意发起对第三方网站的安全扫描。OWASP ZAP（Zed Attack Proxy）是一款流行的开源Web应用程序安全测试工具。它可以帮助识别Web应用程序中的安全漏洞，适用于开...
Web安全—Web漏扫工具OWASP ZAP安装与使用
PP_zi的博客
08-27 5538
本文仅用于安全学习使用！切勿非法用途。 一、OWASP ZAP简介 开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。ZAP则是OWASP里的工具类项目，也是旗舰项目，全称是OWASP Zed attack proxy，是一款web application 集成渗透测试和漏洞工具，同样是免费开源跨平台的。 ZAP是一个中间人代理，浏览器与服务器的任何交互都将经过.
OWASP ZAP：一款功能强大的开源Web安全扫描工具
Coder加油站的专栏
07-27 2091
OWASP ZAP是一个功能强大的Web应用程序安全扫描工具，适用于各种开发、测试和生产环境。通过自动扫描、手动测试、被动扫描和主动扫描等多种功能，ZAP能够帮助用户全面评估Web应用程序的安全性。此外，ZAP还提供了强大的API、插件和扩展功能，可以与CI/CD流水线集成，自动化地进行安全测试
owasp-zap
weixin_44940180的博客
08-22 389
什么是owasp-zap ZAP以架设代理的形式来实现渗透性测试，类似于burp抓包机制。 他将自己置于用户浏览器和服务器中间，充当一个中间人的角色，浏览器所有与服务器的交互都要经过ZAP，这样ZAP就可以获得所有这些交互的信息，并且可以对他们进行分析、扫描，甚至是改包再发送。 启动owasp-zap 浏览器设置代理 代理设置好后，访问任何流量都会经过owasp-zap 功能 爬取页面 输入的账号/密码都有记录 主动攻击 可以直接使用url或者使用爬取到的页面右键发送到攻击块 扫描结果
「金融安全」OWASP_AppSec_EU2016-Security_Automation_Using_ZAP_v1.3
12-05
【金融安全】OWASP_AppSec_EU2016-Security_Automation_Using_ZAP_v1.3 这个主题聚焦于金融领域的安全自动化，特别是使用ZAP（Zed Attack Proxy）工具进行安全测试。OWASP（开放网络应用安全项目）是一个全球性的非...
【安全牛学习笔记】OWASP_ZAP
edu_aqniu的博客
12-04 1613
OWASP_ZAP Zed attack proxy WEB Applicaiton集成渗透测试和漏洞挖掘工具 开源免费跨平台简单易用 截断代理 主动、被动扫描 Fuzzy、暴力破解 API     http://zap/ Do you want to persist the ZAP Session    Yes,I want to pe
信息安全_数据安全_OWASP_AppSec_EU2016-Security_Aut.pdf
08-22
ZAP是OWASP（开放网络应用安全项目）的一个重要项目，它被ToolsWatch Survey评为第一的安全工具，旨在帮助开发者和安全研究人员发现并修复Web应用程序中的安全漏洞。 首先，我们要理解什么是可信计算。可信计算是一...
OWASP与ZAP工具使用 (2023总结)
最新发布
09-29
并且每几年都会颁布相应的TOP 10风险分析,帮助网络安全IT从业人员了解安全标准以及风险管控, OWASP 前 10 名是什么？ 开放式Web应用程序安全项目(OWASP)是一个由来自世界各地的安全专家组成的开源社区，他们通过制定...
owasp测试指南v4-中文版.zip
03-04
OWASP，即开放式网络应用安全项目（Open Web Application Security Project），是一个全球性的非营利组织，致力于提高软件的安全性。该测试指南是OWASP的重要成果，旨在帮助开发者、测试人员和安全专业人员识别并...
OWASP ZAP 2.7.0 版本
09-27
OWASP Zed Attack Proxy （ZAP）工具是世界上最受欢迎的免费安全工具之一。ZAP可以帮助安全测试人员在开发和测试应用程序过程中，自动发现 Web应用程序中的安全漏洞。另外，它也是一款提供给具备丰富经验的渗透测试人员进行人工安全测试的优秀工具。
OWASP ZAP.zip
08-15
OWASP ZAP，web安全扫描器，
OWASP_ZAP
02-14
OWASP_ZAP-Kali Linux 2020.2 https://www.zaproxy.org/download/ https://github.com/zaproxy/zaproxy/releases/ 在线安装 curl -s https://raw.githubusercontent.com/nu11secur1ty/OWASP_ZAP/master/zap.sh | bash 模糊[ ]
OWASP ZAP
2301_76786857的博客
07-11 1143
OWASP ZAP 是一款功能强大且易于使用的 Web 应用安全测试工具，通过自动化扫描和手动测试相结合，帮助用户发现并修复 Web 应用中的安全漏洞。本文详细介绍了 ZAP 的安装步骤、代理配置、自动化扫描和手动测试的基本操作，希望能帮助用户快速掌握该工具的使用方法。 在实际操作中，ZAP 可以帮助开发者和安全专业人员提高 Web 应用的安全性，保护用户数据免受攻击。
Web漏扫工具OWASP ZAP安装与使用（非常详细）从零基础入门到精通，看完这一篇就够了。
liuhyusb的博客
01-04 851
开放式Web应用程序安全项目（OWASP，Open Web Application Security Project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。ZAP则是OWASP里的工具类项目，也是旗舰项目，全称是OWASP Zed attack proxy，是一款web application 集成渗透测试和漏洞工具，同样是免费开源跨平台的。ZAP是一个中间人代理，浏览器与服务器的任何交互都将经过ZAP，ZAP则可以通过对其抓包进行分析、扫描。
owaspzap使用（中文）
xiaozhao5212的博客
05-27 4788
​ 一、安装 下载地址：OWASP ZAP – Download Windows下载下来的是exe的,双击就可以了! Linuxg下载下来的不是.sh就是tar.gz,这个就更加简单了。 唯一需要注意的是: Windows和Linux版本需要运行Java 8或更高版本JDK, MacOS安装程序包括Java 8; 二、使用 1、初步使用ZAP 进程保留: 初次打开ZAP时,会看到以下对话框,询问是否要保持ZAP进程。 保存进程则可以让你的操作...
OWASP ZAP安装包
07-24
OWASP Zed Attack Proxy (ZAP) 是一款用于渗透测试的免费、开源工具，它可以协助安全专家检测并修复网络应用程序的安全漏洞。它提供了一个全面的自动化解决方案，包括但不限于漏洞扫描、敏感数据泄露检测以及手动审查功能。 ### OWASP ZAP 安装包简介 OWASP ZAP 的安装包通常包含其核心组件及相关依赖库，使得用户可以在本地电脑上方便地运行该工具。安装包可能基于不同的操作系统（如 Windows、macOS 或 Linux），并且可能有不同的版本号，因此选择适合您系统的安装文件至关重要。 #### 安装步骤 1. **下载安装包**：首先从 OWASP 官方网站或其他可信源获取 OWASP ZAP 的最新稳定版或开发版安装包。确保从官方网站下载以避免潜在的安全风险。 2. **解压安装包**：下载完成后，将压缩包解压到您的硬盘上。通常，默认目录可以是一个新创建的文件夹，例如 `C:\Program Files\OWASP` 或 `/usr/local/bin` （取决于操作系统及个人偏好）。 3. **添加到系统路径**：为了能在命令行中直接调用 OWASP ZAP，需要将其可执行文件加入到系统环境变量 PATH 中。这通常是解压后的 bin 目录下的 zaphell.jar 文件所在位置。 4. **配置 OWASP ZAP**：首次运行之前，您可能需要按照官方文档指引进行一些基本设置，比如更新插件列表、调整代理设置等。 5. **启动 OWASP ZAP**：通过命令行输入 `java -jar owasp-zap-x.x.x.jar` 运行应用，其中 `x.x.x` 表示具体的版本号。 6. **开始使用**：进入 OWASP ZAP 后，您可以选择导入项目、添加代理、进行扫描等工作流程。详情请参考官方教程或帮助文档。 ###
评论 3
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值