owasp zap 使用教程

打开ZAP，使用第一眼你会觉得它像个老式控制台，教程密密麻麻的使用树状菜单和按钮堆在一起。别被吓跑，教程这玩意儿其实比Burp Suite更亲民——至少它免费，使用而且开箱即用。教程我见过太多人下载后点两下就关掉，使用转头去用破解版Burp，教程可惜了。使用

先干正事。教程启动ZAP后，使用最直接的教程方式是输入目标URL，点那个绿色“攻击”按钮。使用它会自动爬取页面，教程跑一遍被动扫描，使用把低级警报刷出来。但别指望这一步就能挖到漏洞，它只是热身。真正的活儿得手动来。

拿一个本地测试站点举例。假设你跑着DVWA，登录后抓包，ZAP左侧的“站点树”会列出所有请求。右键某个请求，选“攻击”里的“主动扫描”——这才是重头戏。它会注入一堆Payload，检测SQL注入、XSS、命令执行。跑完看“警报”标签页，红色高危、橙色中危、黄色低危，一目了然。我第一次用的时候，对着DVWA的SQL注入漏洞，看到红色警报跳出来，心里那叫一个爽。

但光会点按钮不够。ZAP的强项是“Fuzzer”，藏在“工具”菜单里。比如你发现一个参数id=1，想测它能不能被爆破出其他数据。右键请求，选“Fuzzer”，把id的值替换成字典文件，再选个Payload列表——ZAP自带一堆，也可以导入自己的。跑起来后，看响应长度和状态码，异常的就要留意。我有次拿它测了个登录接口，直接爆出几个测试账号，那感觉像开盲盒中了奖。

代理设置是另一个关键点。把浏览器流量指到localhost:8080，ZAP就能截获HTTPS请求。第一次配证书会麻烦点，但装好它的CA证书后，就能看明文流量。这点比Burp的免费版厚道，后者不让你用中继代理，ZAP随便配。

脚本也别放过。ZAP支持Python和JavaScript，在“脚本”面板里写个自定义规则，能省掉重复劳动。比如你想对所有响应里的邮箱做正则匹配，写个十来行的Python脚本，挂到“被动扫描”上，以后每个请求都会自动检查。这功能我用了三年，越用越顺，比手动翻包高效太多。

最后说个容易忽略的细节：ZAP的“会话属性”里能设置“用户代理”，有些站点会拦截非浏览器请求，改一下就能绕过。另外，跑完扫描记得导出报告，HTML格式带图表，发给同事或写进渗透测试报告都够专业。别嫌它界面土，功能全就行——就像老式瑞士军刀，丑但好用。

工具摆这儿了，剩下的就是多拿靶场练手。ZAP的官方Wiki里有套“安全骑士”测试环境，配合这个教程跑两遍，比看十篇文档都强。