服务端安全测试：OWASP ZAP使用

ZAP下载地址：https://www.zaproxy.org/download/

ZAP有两种扫描方式：

1、使用 OpenAPI / Swagger 地址进行扫描

2、ZAP Proxy + Postman 

因为业务云没有添加swagger插件所以本次介绍第2种方式。

【第一步】设置 ZAP 的代理端口（默认是 127.0.0.1:8080）

成功安装并打开了 OWASP ZAP

工具 >  选项 > 网络 > 本地服务器/代理

默认代理地址为：127.0.0.1即localhost，端口是8080，我这里修改成了8081

点击：OK

【第二步】设置 Postman 使用代理

打开 Postman，点击顶部菜单的齿轮图标 > Settings

 

在 Proxy 标签页开启 Use custom proxy configuration，设置如下：

注意：端口号与ZAP中的端口号一致

【第三步】在 Postman 中，执行已有的接口集合或逐个请求，每发一个请求，ZAP 都会在左侧的 “Sites” 面板 中记录请求：