使用ZAP对网站进行渗透测试流程如下:
ZAP启动浏览器
输入URL,点击启动浏览器,在打开的浏览器登录要扫描的网站
在打开的浏览器上进行需要测试的流程操作。
ZAP会记录操作过程中的HTTP请求。
spider爬虫
点击Spider Start按钮,爬取静态地址,防止有遗漏。
使用 ZAP 的 Spider 功能进行扫描时,默认情况下会扫描当前页并自动探测整个网站,并构建一个全面的页面列表。然后,ZAP 将使用这个页面列表来进行更全面的安全扫描。因此,ZAP 的 Spider 扫描将涵盖整个网站的所有页,而不仅仅是当前页。这样可以帮助你发现整个网站中的潜在漏洞。
也可以直接在ZAP界面,选择spider,新建扫描
Ajax Spider
点击Ajax Spider Start按钮,爬取ajax地址,防止有遗漏
主动扫描
方法一:
点击Active Scan Start,开始使用默认配置对前三步记录的地址进行扫描(页面操作有时候不会开始扫描,可以用方法二或三)。
方法二:
在ZAP界面,在需要攻击的网站上右键->攻击->主动扫描。
方法三:
选中主动扫描,新建扫描
主动扫描会比较慢,可以点击查看扫描进度。
ZAP基于这些规则,对页面操作时记录的HTTP请求进行攻击,检查是否存在对应问题。
查看警报
导出测试报告
报告->生成报告,在下方选择站点,点击生成报告。