1、下载与安装
1.1、下载
1.2、安装
zap为免费开源的渗透测试工具，无需激活成功教程，双击运行，默认下一步即可。
2、使用
1、打开应用
双击桌面上的快捷方式打开即可。如果提示未安装JDK，找到安装目录，双击zap.bat也可以。
启动之后，默认创建一个新会话，会有三个选项。我们在学习过程中可以选择不保存这个会话。在正式的渗透测试中，需要保存这个会话到磁盘中。
2、快速开始
zap是一个较容易入门的渗透测试工具，它提供了快速开始面板，对于不需要登录的目标地址，我们直接选择Automated Scan，输入目标网站地址，选择相应的爬取方式，点击攻击按钮即可。
3、设置登录
zap提供五种登录方式，本次介绍一种设置session的方式来跳过登录步骤，这种方式适用于大多数网站。
3.1、添加令牌
选择工具>选项…>HTTP Sessions>add，添加自己的token name
3.2、手动浏览目标地址，获取session token value
在快速开始面板，选择Manual Explore，输入目标地址，点击启动浏览器，手动登录，并浏览一到两个地址。
3.3、新建session会话
在HTTP Sessions选项卡，选择目标站点，点击新建会话，下方列表栏会增加一条session记录，会记录session token的值，并设置为active即可。
3.4、将目标网站包含在上下文中
在站点树上，选择目标地址，右键选择Include in Context，将目标地址包含在指定上下文中
3.5、爬取目标网站
在站点树上，选择目标地址，右键选择点击AJAX Spider，选择上一步的指定上下文，即可爬取目标网站。
4、查看过程
5、结果与报告
可以在警报栏看到扫描之后的结果，并可以看到漏洞的详细信息以及提供的建议等。
在报告栏，可以生成多种新式的报告。
发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/217421.html原文链接：https://javaforall.net
