前幾天一個(gè)做后端的朋友跟我抱怨說他們系統(tǒng)上線前被安全測試攪得焦頭爛額排查半天才發(fā)現(xiàn)是登錄接口沒做頻控、文件上傳路徑?jīng)]校驗(yàn)。我直接問他有沒有先用 OWASP ZAP 掃過一遍他愣了一下說聽過這個(gè)名字但一直沒動(dòng)手搭過。這其實(shí)不是個(gè)例很多人看到滲透測試漏洞掃描就覺得門檻高實(shí)際上 OWASP ZAP 可能是最適合開發(fā)、測試、運(yùn)維上手的安全工具之一關(guān)鍵在于環(huán)境搭建和實(shí)戰(zhàn)流程是否順。這篇指南就圍繞 OWASP ZAP 的環(huán)境搭建與實(shí)戰(zhàn)展開我會(huì)按自己實(shí)際用的流程來寫從安裝、基礎(chǔ)配置到常見掃描場景和問題排查盡量把每一步的為什么也講清楚。適合沒接觸過安全測試的新人也適合想把手動(dòng)測試流程工具化的老手。1. 動(dòng)手之前先把工具定位和適用場景想清楚1.1 OWASP ZAP 到底解決什么問題OWASP ZAPZed Attack Proxy是 OWASP 組織維護(hù)的開源 Web 應(yīng)用安全掃描器本質(zhì)是一個(gè)本地代理服務(wù)器。你把它放在瀏覽器和目標(biāo)站點(diǎn)之間所有 HTTP/HTTPS 流量都會(huì)經(jīng)過它這樣它就能記錄請求、修改請求、重放請求還能主動(dòng)往目標(biāo)站點(diǎn)發(fā)送測試 payload檢測 SQL 注入、XSS、命令注入、文件包含等常見漏洞。它的定位和 Burp Suite 有些重疊但 ZAP 最大的優(yōu)勢是免費(fèi)開源、社區(qū)活躍、自動(dòng)化能力完整。對個(gè)人開發(fā)者或中小企業(yè)團(tuán)隊(duì)來說用它做上線前的安全自測比請外部測試團(tuán)隊(duì)便宜得多而且可重復(fù)性更好。它能覆蓋 OWASP Top 10 里的絕大部分自動(dòng)化檢測項(xiàng)比如注入、失效的訪問控制、安全配置錯(cuò)誤、敏感信息泄露等。1.2 一個(gè)關(guān)鍵認(rèn)知它不是點(diǎn)一下就跑的工具很多新手以為裝了 ZAP 點(diǎn)個(gè) Attack 按鈕就能拿到所有漏洞報(bào)告這是誤解。ZAP 的主動(dòng)掃描確實(shí)能自動(dòng)測一批漏洞但掃描結(jié)果嚴(yán)重依賴前置條件你有沒有把目標(biāo)站點(diǎn)的頁面都喂給它、會(huì)話認(rèn)證有沒有配好、掃描策略的參數(shù)合不合理。我見過很多報(bào)告掃出來一片綠結(jié)果登錄后的頁面一個(gè)都沒爬到等于白掃。所以在動(dòng)手搭建之前先想清楚這幾點(diǎn)目標(biāo)系統(tǒng)是否需要登錄態(tài)主要業(yè)務(wù)流程在哪些頁面你的測試環(huán)境是否是隔離的、可以承受掃描流量。這些決定了下面的配置怎么做。2. OWASP ZAP 環(huán)境搭建從下載到跑起來2.1 環(huán)境要求和安裝方式對比OWASP ZAP 基于 Java 開發(fā)官方目前推薦使用 Java 11 以上版本運(yùn)行。好消息是官方提供的安裝包內(nèi)置了運(yùn)行時(shí)所以大部分情況下你不需要單獨(dú)配 Java。我建議優(yōu)先用官方安裝包省心。安裝方式大致有三種我列個(gè)表方便對比方式適用場景優(yōu)點(diǎn)缺點(diǎn)桌面安裝版Windows/macOS/Linux日常手動(dòng)測試自帶 UI、啟動(dòng)即用占內(nèi)存較多命令行版ZAP CLI / Docker自動(dòng)化集成、CI/CD輕量、易腳本化無圖形界面調(diào)試要適應(yīng)源碼運(yùn)行二次開發(fā)、研究插件可定制性強(qiáng)配置復(fù)雜不推薦新手我第一次用的是 Windows 安裝版雙擊安裝程序一路默認(rèn)非常順利。Linux 上更推薦用發(fā)行版包管理器裝比如 Ubuntu 直接sudo apt install zaproxy或者在 Docker 里跑。這里提醒一句如果在服務(wù)器上遠(yuǎn)程跑 ZAP不要開圖形界面直接用無頭模式headless更穩(wěn)。2.2 下載、啟動(dòng)和基礎(chǔ)驗(yàn)證到 OWASP ZAP 官網(wǎng)下載對應(yīng)系統(tǒng)的安裝包。下載完成后注意校驗(yàn)一下安裝包的哈希值官方頁面會(huì)提供 SHA256 校驗(yàn)值避免下載到被篡改的文件。具體操作用sha256sumLinux/macOS或Get-FileHashPowerShell計(jì)算出來對比即可。啟動(dòng)以后你會(huì)看到一個(gè)主界面左邊是站點(diǎn)樹右邊是請求/響應(yīng)面板頂部是工具欄。第一次打開可能會(huì)提示是否啟用持久化配置意思是把會(huì)話和配置存在本地文件里。我建議個(gè)人測試選是因?yàn)榕渲煤么砗妥C書后下次不用重復(fù)搞。驗(yàn)證安裝是否 OK 有一個(gè)最簡單的方法啟動(dòng) ZAP 后讓瀏覽器走 ZAP 代理訪問http://zap/這個(gè)內(nèi)置頁面。如果能打開就說明代理鏈路通了這是整個(gè)實(shí)戰(zhàn)流程的地基。2.3 多版本共存與升級(jí)注意事項(xiàng)如果你曾經(jīng)裝過其他版本的 ZAP或者電腦上有多個(gè) Java 版本可能會(huì)遇到啟動(dòng)腳本選錯(cuò) Java 的情況。常見的表現(xiàn)是雙擊沒反應(yīng)、命令行報(bào)UnsupportedClassVersionError。解決辦法是檢查JAVA_HOME環(huán)境變量是否指向了 Java 11 以上的 JDK或者在啟動(dòng)腳本里強(qiáng)制指定。Windows 版還可以看安裝目錄下的zap.bat文件里面有一段自動(dòng)查找 Java 的邏輯直接用命令行跑這個(gè)腳本能看到具體報(bào)錯(cuò)。升級(jí)方面ZAP 的自動(dòng)更新會(huì)在啟動(dòng)時(shí)檢測插件更新我建議保持更新尤其是掃描規(guī)則插件因?yàn)槁┒礄z測規(guī)則會(huì)持續(xù)演進(jìn)老版本容易漏報(bào)新變種。但如果你的業(yè)務(wù)系統(tǒng)對穩(wěn)定性要求高最好先在測試機(jī)上升級(jí)驗(yàn)證不要在關(guān)鍵時(shí)刻動(dòng)生產(chǎn)測試環(huán)境的版本。3. 初始化的關(guān)鍵配置代理、證書、API Key 一個(gè)都不能少3.1 設(shè)置本地代理并讓瀏覽器接入ZAP 默認(rèn)監(jiān)聽127.0.0.1:8080這是本地代理入口。打開 ZAP 的工具菜單進(jìn)入選項(xiàng)在網(wǎng)絡(luò) - 代理這一頁能看到監(jiān)聽地址和端口設(shè)置。默認(rèn)值對個(gè)人電腦夠用但如果端口被占用就需要改比如你本機(jī)跑著其他代理工具。瀏覽器接入方式我推薦直接用 Firefox 配代理因?yàn)?ZAP 內(nèi)置了 Firefox 的配置文件切換工具可以在瀏覽器菜單直接啟動(dòng)一個(gè)配好代理的 Firefox 實(shí)例。如果你用 Chrome可以單獨(dú)建一個(gè)快捷方式加上啟動(dòng)參數(shù)chrome --proxy-serverhttp://127.0.0.1:8080 --user-data-dir/tmp/zap-profile這里加user-data-dir的原因是為了不污染你日常使用的 Chrome 配置文件讓它單獨(dú)開一個(gè)干凈的會(huì)話。我第一次偷懶沒加這個(gè)參數(shù)結(jié)果把日常瀏覽器的代理設(shè)置也改了排查半天才發(fā)現(xiàn)。3.2 HTTPS 證書信任不配這個(gè)什么都掃不了HTTPS 流量如果不處理ZAP 里看到的會(huì)是一堆亂碼或者可以直接看到 ZAP 無法解密 HTTPS 請求。ZAP 的做法是動(dòng)態(tài)生成一個(gè) CA 證書然后你需要讓瀏覽器信任這個(gè)證書。操作路徑工具 - 選項(xiàng) - 動(dòng)態(tài) SSL 證書點(diǎn)擊保存把證書導(dǎo)出為一個(gè).cer文件然后導(dǎo)入到瀏覽器的受信任根證書頒發(fā)機(jī)構(gòu)。Firefox 會(huì)有安全警告確認(rèn)即可Chrome 在 Windows 上是導(dǎo)入到系統(tǒng)證書存儲(chǔ)這在公司統(tǒng)一管理的電腦上可能需要本機(jī)管理員權(quán)限。這個(gè)環(huán)節(jié)我踩過最大的坑是證書導(dǎo)入后瀏覽器仍報(bào)不安全連接。原因通常是導(dǎo)成了個(gè)人證書而不是受信任的根證書頒發(fā)機(jī)構(gòu)。導(dǎo)入時(shí)一定要選對證書存儲(chǔ)位置否則 ZAP 會(huì)一直提示證書無效你又找不到問題在哪。導(dǎo)入完成后最好重啟瀏覽器再試有些瀏覽器不重啟不會(huì)重新加載證書存儲(chǔ)。3.3 API Key自動(dòng)化調(diào)用的安全門檻ZAP 不僅是個(gè)圖形工具它還提供了 REST API所有功能都能通過 API 調(diào)用。這個(gè)設(shè)計(jì)對自動(dòng)化非常重要但默認(rèn)配置下 API 只允許本機(jī)訪問而且 ZAP 會(huì)隨機(jī)生成一個(gè) API Key只有持有 Key 的請求才能調(diào)用寫操作。在工具 - 選項(xiàng) - API頁面可以看到這個(gè) Key。如果要做自動(dòng)化腳本把 Key 配在環(huán)境變量里而不是寫死在代碼里。另外注意如果你用 Docker 把 ZAP 暴露到局域網(wǎng)一定要設(shè)一個(gè)強(qiáng) API Key別用默認(rèn)值。我查資料時(shí)就看到過有人把 ZAP 容器端口映射出去后沒有修改 API Key結(jié)果被外部直接調(diào)用掃描接口白白給別人當(dāng)免費(fèi)掃描器。3.4 會(huì)話持久化與上下文管理ZAP 的會(huì)話可以保存當(dāng)前爬到的站點(diǎn)結(jié)構(gòu)、請求記錄、掃描結(jié)果。推薦的做法是每個(gè)目標(biāo)系統(tǒng)建一個(gè)會(huì)話文件掃描結(jié)束后歸檔。這樣后續(xù)復(fù)測時(shí)不用重新爬站。上下文則是 ZAP 里容易被忽略但非常重要的概念。它定義了一組 URL 規(guī)則告訴 ZAP 哪些請求屬于目標(biāo)應(yīng)用、哪些屬于外部資源。默認(rèn)上下文在實(shí)際掃描時(shí)經(jīng)常把第三方 CDN、統(tǒng)計(jì)腳本也當(dāng)作目標(biāo)產(chǎn)生大量噪音甚至誤報(bào)。正確做法是在站點(diǎn)樹里選中目標(biāo)域名右鍵選擇在上下文中包含把所有受測域名加入同一個(gè)上下文并把無關(guān)域名排除在外。這個(gè)操作能顯著提升掃描結(jié)果的有效性。4. 實(shí)戰(zhàn)流程從手動(dòng)探測到主動(dòng)掃描的完整路徑4.1 先確認(rèn)測試邊界和授權(quán)這不是一句套話而是安全測試的基本底線。ZAP 的主動(dòng)掃描會(huì)發(fā)送大量攻擊性請求稍有配置失誤就可能影響目標(biāo)業(yè)務(wù)或者觸發(fā)風(fēng)控。我自己的習(xí)慣是所有掃描只針對授權(quán)的測試環(huán)境并且提前和運(yùn)維確認(rèn)白名單策略避免 IP 被封導(dǎo)致的誤判。實(shí)戰(zhàn)文章和教程里也都會(huì)強(qiáng)調(diào)這一點(diǎn)務(wù)必遵守別拿別人的域名練手。4.2 通過手動(dòng)瀏覽把站點(diǎn)喂進(jìn) ZAP很多人一開 ZAP 就直接填 URL 點(diǎn)攻擊這是最常見的錯(cuò)誤。主動(dòng)掃描的前提是 ZAP 已經(jīng)知道了目標(biāo)應(yīng)用有哪些頁面、哪些參數(shù)。最可靠的喂數(shù)據(jù)方式是通過 ZAP 代理用瀏覽器手動(dòng)走一遍應(yīng)用的核心流程。具體來說我會(huì)打開 ZAP 啟動(dòng)的代理 Firefox先訪問登錄頁登錄測試賬號(hào)逐一點(diǎn)開主要功能菜單填寫表單提交一次甚至上傳一個(gè)文件。這些操作產(chǎn)生的所有 HTTP 請求都會(huì)被 ZAP 記錄到左側(cè)站點(diǎn)樹里。這個(gè)過程學(xué)名叫手動(dòng)探索它能覆蓋到動(dòng)態(tài)生成頁面和需要特定操作才能觸發(fā)的 API 請求是自動(dòng)化爬蟲做不到的。跑完手動(dòng)探索之后可以在站點(diǎn)樹上看到一串 URL 和參數(shù)。此時(shí)可以配合Spider自動(dòng)爬蟲再做一輪補(bǔ)充。Spider 會(huì)順著頁面里的鏈接繼續(xù)爬但它處理不了需要 JavaScript 渲染的內(nèi)容。如果要測的是單頁應(yīng)用建議用 AJAX Spider它會(huì)調(diào)用內(nèi)置瀏覽器執(zhí)行 JS 再抓取結(jié)果不過速度會(huì)慢不少。4.3 主動(dòng)掃描的策略和參數(shù)調(diào)整主動(dòng)掃描是 ZAP 的核心攻擊測試功能它會(huì)向每個(gè)請求注入大量規(guī)則化 payload檢測服務(wù)端是否對這些輸入做出敏感響應(yīng)。直接在某個(gè)節(jié)點(diǎn)上右鍵主動(dòng)掃描即可但先別急著用默認(rèn)配置。在主動(dòng)掃描彈窗里有策略和輸入向量兩個(gè)關(guān)鍵選項(xiàng)。建議做如下調(diào)整掃描策略選完整掃描默認(rèn)的標(biāo)準(zhǔn)會(huì)漏掉一些偏門但真實(shí)存在的檢測項(xiàng)輸入向量里勾選 URL 參數(shù)、表單字段、請求頭、Cookie 等所有可能被利用的位置掃描速度可以從快速降到中速壓力小且漏報(bào)少尤其對生產(chǎn)環(huán)境前的預(yù)發(fā)布測試。掃描過程中可以到主動(dòng)掃描標(biāo)簽頁查看實(shí)時(shí)進(jìn)度。這一步通常耗時(shí)較長一個(gè)中等規(guī)模站點(diǎn)可能要跑十幾分鐘到一兩個(gè)小時(shí)。等待期間不要繼續(xù)手動(dòng)瀏覽同一個(gè)站點(diǎn)避免新的請求干擾掃描隊(duì)列。掃描結(jié)束會(huì)生成一個(gè)警報(bào)列表按風(fēng)險(xiǎn)等級(jí)高危、中危、低危、信息分類。先看高危和中危逐條點(diǎn)開看報(bào)警里的請求和響應(yīng)詳情再判斷是真漏洞還是誤報(bào)。我自己的經(jīng)驗(yàn)是ZAP 對反射型 XSS 和 SQL 注入的檢測比較敏感但對業(yè)務(wù)邏輯漏洞無能為力比如越權(quán)訪問、驗(yàn)證碼繞過這類需要結(jié)合業(yè)務(wù)理解的問題。所以主動(dòng)掃描結(jié)果只能算安全測試第一輪不能替代人工測試。4.4 利用 Fuzzer 做參數(shù)級(jí)攻擊測試主動(dòng)掃描是自動(dòng)化廣撒網(wǎng)但有些漏洞藏得很深比如某個(gè)參數(shù)期望輸入一個(gè)文件路徑你在手動(dòng)測試?yán)锊豢赡茉嚤樗袗阂廨斎?。這時(shí)候 Fuzzer 比主動(dòng)掃描更靈活。Fuzzer 的使用方式在站點(diǎn)樹的某個(gè) Node 請求上點(diǎn)擊右鍵Fuzz 打開 Fuzzer 面板。選擇要測試的位置比如 GET 請求的file參數(shù)然后添加 fuzz 策略ZAP 內(nèi)置了字典文件里面包含大量已知攻擊載荷從 SQL 注入語句到路徑穿越字符串都有。參數(shù)配置上每條 payload 的并發(fā)線程數(shù)不要開太高我常用 10 個(gè)線程以內(nèi)因?yàn)?Fuzzer 是多線程發(fā)送請求目標(biāo)應(yīng)用可能擋不住。跑完看結(jié)果響應(yīng)狀態(tài)碼異常、響應(yīng)長度明顯不同、響應(yīng)內(nèi)容返回了內(nèi)部錯(cuò)誤信息等都值得點(diǎn)進(jìn)去細(xì)看。需要注意 Fuzzer 的結(jié)果需要你人工判斷和主動(dòng)掃描不同它不會(huì)自動(dòng)歸類成漏洞更像一個(gè)測試輔助工具。4.5 API 場景的特殊處理用 OpenAPI/SOAP 導(dǎo)入現(xiàn)在后端接口越來越多很多項(xiàng)目是前后端分離的純粹的頁面爬取根本覆蓋不了 API。ZAP 提供了對 OpenAPISwagger和 SOAP 的定義文件導(dǎo)入功能。你只要拿到接口的 OpenAPI JSON/YAML 文檔在結(jié)構(gòu)化定義頁面導(dǎo)入ZAP 會(huì)自動(dòng)生成一批請求掛到站點(diǎn)樹下然后你對這些節(jié)點(diǎn)做主動(dòng)掃描即可。這一招我在實(shí)際項(xiàng)目中幫了大忙。有個(gè)內(nèi)部系統(tǒng)沒做前端頁面全是 REST API文檔齊全導(dǎo)入 OpenAPI 后 ZAP 自動(dòng)生成了四百多個(gè)請求。比起手工一個(gè)個(gè)試接口效率高太多。如果你所在項(xiàng)目沒有現(xiàn)成的 OpenAPI 文檔也可以先用工具掃描下常見路徑/swagger.json、/v3/api-docs很多框架會(huì)自動(dòng)暴露但注意這屬于探測行為也只應(yīng)在授權(quán)環(huán)境下做。5. 常見問題排查與個(gè)人經(jīng)驗(yàn)記錄5.1 十個(gè)高頻問題的速查表這里整理了團(tuán)隊(duì)里新人最容易遇到的十個(gè)問題基本都是真實(shí)案例現(xiàn)象可能原因解決方法瀏覽器無法訪問 ZAP代理端口被占用改 ZAP 監(jiān)聽端口并同步更新瀏覽器代理掃描不到 HTTPS 內(nèi)容證書未信任導(dǎo)入動(dòng)態(tài) SSL 證書到受信任根證書站點(diǎn)樹為空瀏覽器沒走代理手動(dòng)配置瀏覽器走127.0.0.1:8080登錄頁面反復(fù)跳回登錄會(huì)話未處理配好上下文中的用戶認(rèn)證策略掃描結(jié)果全是誤報(bào)上下文包含外部域名目標(biāo)域名單獨(dú)設(shè)上下文并排除無關(guān)域名ZAP 自己崩了內(nèi)存不足Linux 上運(yùn)行zap.sh時(shí)設(shè)置-Xmx參數(shù)主動(dòng)掃描速度極慢線程數(shù)過高或過低檢查并發(fā)線程數(shù)和延遲調(diào)到合理范圍頁面是空白但瀏覽器正常AJAX 頁面無法被 Spider 抓到用 AJAX Spider 或手動(dòng)探索補(bǔ)充Docker 方式啟動(dòng)后無法訪問 API端口映射不對映射8080和8090兩個(gè)端口掃描請求被 WAF 攔截請求特征明顯降低掃描強(qiáng)度分段掃描或先調(diào)整請求頭5.2 我踩過的三個(gè)坑寫下來免得你重復(fù)第一個(gè)坑是證書問題。我早期在 macOS 上導(dǎo)入 ZAP 證書時(shí)鑰匙串里明明顯示成功Chrome 打開目標(biāo)站依然報(bào)錯(cuò)。后來發(fā)現(xiàn)是導(dǎo)進(jìn)了登錄鑰匙串而不是系統(tǒng)鑰匙串瀏覽器不認(rèn)。改成導(dǎo)入到系統(tǒng)鑰匙串并設(shè)為始終信任問題解決。第二個(gè)坑是上下文配置疏忽。有一回掃一個(gè)嵌入了第三方統(tǒng)計(jì)腳本的站點(diǎn)ZAP 把統(tǒng)計(jì)服務(wù)的請求也當(dāng)目標(biāo)掃描結(jié)果對方統(tǒng)計(jì)服務(wù)器返回大量 500 錯(cuò)誤目標(biāo)方以為是應(yīng)用被攻擊差點(diǎn)報(bào)安全事故。之后我養(yǎng)成了一個(gè)習(xí)慣掃描前一定檢查上下文排除所有非業(yè)務(wù)域名。第三個(gè)坑是主動(dòng)掃描線程設(shè)置。默認(rèn)的掃描線程數(shù)對普通網(wǎng)站沒問題但有一次掃一個(gè)老舊的內(nèi)部系統(tǒng)每個(gè)請求都要查多張關(guān)聯(lián)表直接在掃描過程中把數(shù)據(jù)庫打滿應(yīng)用假死。后來我把主動(dòng)掃描 - 高級(jí)選項(xiàng) - 線程數(shù)從默認(rèn)改小到 3同樣能檢測完漏洞系統(tǒng)穩(wěn)穩(wěn)的。這也印證了前面那句話掃描強(qiáng)度不是越高越好得看目標(biāo)承受能力。5.3 把 ZAP 接進(jìn)持續(xù)集成的一點(diǎn)建議要真正發(fā)揮 ZAP 的價(jià)值建議把它接入 CI 流程每次代碼提交后自動(dòng)跑一輪基線掃描。官方的 Docker 鏡像提供了zap-baseline.py和zap-api-scan.py兩個(gè)腳本前者面向 Web 頁面后者面向 API。一個(gè)最小可用的 API 掃描命令大概是這樣的docker run -t owasp/zap2docker-stable zap-api-scan.py \ -t https://your-test-env.example.com/swagger.json \ -f openapi \ -r report.html實(shí)際執(zhí)行時(shí)把your-test-env.example.com換成你自己的授權(quán)測試環(huán)境。跑完會(huì)在當(dāng)前目錄生成 HTML 格式報(bào)告后續(xù)可以配合 Jenkins 或者 GitLab CI 把報(bào)告歸檔并把高危漏洞數(shù)大于 0設(shè)成失敗條件。這種自動(dòng)化方式的價(jià)值在于漏洞發(fā)現(xiàn)的時(shí)間點(diǎn)從上線前提前到代碼提交后修復(fù)成本會(huì)低很多。寫在最后到現(xiàn)在OWASP ZAP 的環(huán)境搭建和實(shí)戰(zhàn)流程就梳理得差不多了。我個(gè)人在實(shí)際使用中的最大體會(huì)是這個(gè)工具并不難學(xué)難點(diǎn)在于你有沒有耐心把代理、證書、上下文這些基礎(chǔ)配置一次做對以及有沒有形成手動(dòng)探索 自動(dòng)掃描 人工驗(yàn)證的完整閉環(huán)。很多人裝好 ZAP 掃了一次就跑報(bào)告不看細(xì)節(jié)漏洞不驗(yàn)證那裝不裝其實(shí)沒什么區(qū)別。最后再說一個(gè)自己摸索出來的小技巧掃描報(bào)告里的信息級(jí)別報(bào)警不要直接忽略有些信息泄露比如服務(wù)器版本號(hào)、框架類型、敏感字段名單獨(dú)看沒什么風(fēng)險(xiǎn)但累積起來往往能透露出系統(tǒng)的技術(shù)棧和薄弱面對后續(xù)人工測試很有參考價(jià)值。安全測試本質(zhì)上是個(gè)信息積累的過程ZAP 負(fù)責(zé)把自動(dòng)化部分做得又快又全剩下的判斷和深度驗(yàn)證還是要你來完成。