web渗透测试工具(OWASP Zed Attack Proxy)

Zed Attack Proxy汉语中文版是一款应用性较强的电脑上web渗透测试APP，它可以深层次电脑操作系统，扫描检验出web应用的缺点，多种多样方法暴力行为扫描漏洞，是对外开放工作人员、程序猿等工作人员的好帮手，喜爱的朋友们赶快来多特软件站网在线下载畅玩吧！

软件简介

Zed Attack Proxy是由OWASP荣誉出品的一款web渗透测试专用工具，Zed的代理进攻(ZAP)也是如今最受欢迎的OWASP新项目之一。Zed Attack Proxy受大家喜爱是由于它有很多拓展适用，它被设计方案适用有各式各样安全性工作经验的所有人应用，因而它是开发设计和作用测试工作人员理想化的渗入测试专用工具。

OWASP介绍

敞开式Web应用程序安全性新项目（OWASP，Open Web Application Security project）是一个机构，它给予相关电子计算机和互联网技术应用程序的公平、具体、有成本效益的信息内容。其意义是帮助本人、公司和组织来发觉和应用值得信赖APP。　敞开式Web应用程序安全性新项目（OWASP）是一个非营利性组织，不附设于其他公司或大财团。因而，由OWASP给予和研发的任何设备和文档也不受商业服务要素的危害。OWASP适用商业服务安全生产技术的合理使用，它有一个社区论坛，在社区论坛里信息科技专业人士可以发布和教给专业技能和专业技能。

使用方法

软件简介

ZAproxy是一个非常容易应用互动式的用以web应用程序漏洞发掘的渗入测试专用工具。

ZAP即可以用以安全性权威专家、开发者、作用测试工作人员，乃至是渗入测试新手入门工作人员。

ZAP除开给予了全自动扫描专用工具还带来了一些用以手动式发掘安全性漏洞的专用工具。

二、基本上设定

1菜单栏--专用工具--选择项--当地代理（ie通过当地代理开展测试）

2菜单栏--专用工具--选择项--connection（设定timeout時间及互联网代理、验证）

3菜单栏--专用工具--选择项--Spider（设定联接的进程等）

4菜单栏--专用工具--选择项--暴力密码（这里可导进词典文档）

5菜单栏--剖析--扫描对策（设定扫描对策）

三、一些关键点

1积极扫描和处于被动扫描：积极扫描如同平常的扫描器积极去检测测试漏洞，而处于被动扫描是将写好的正则表达式（标准）放到后台管理进程，不危害应用程序总体运作速率，处于被动地对被测试的Web应用程序开展回应（假如开启了标准）。

2要求中断点：关键根据要求中断点的方式完成避过手机客户端认证（通常应用javascript实行），提取要求从电脑浏览器和更改它以前递交到网址所测试的应用程序。

3文件目录扫描（暴力行为）关键根据词典文档立即浏览文件目录的方式猜解存有的文件目录，可以用来找后台管理系统，词典文件名称:G:\program files\OWASP\Zed

Attack Proxy\dirbuster

4模糊不清测试（Fuzzer）：模糊不清测试就是指很多失效的或出现意外的数据信息递交到方向的技术性。（来源于·google）；在这里导进模糊不清测试目录：菜单栏--专用工具--选择项--Fuzzer，还能够挑选默认设置测试哪一种种类的漏洞。

5读取应用程序：比如Nmap（来源于google，有此作用，可是如何拓展不太搞清楚）

6搜索引擎蜘蛛（Spider）：现手动式探寻应用程序，仅用搜索引擎蜘蛛找到你早已错过了，或以一种方法掩藏的连接。

四、基本上的渗入测试步骤

1探寻：应用电脑浏览器来探寻全部的应用程序给予的作用。开启每个URL，按住全部按键，填好并递交的一切表格类型。假如应用程序适用好几个客户，那麼做的每一个客户保留在不一样的文档，随后再逐渐服用的下一个客户，运行一个新的对话。

2搜索引擎蜘蛛：应用搜索引擎蜘蛛寻找的网站地址。

3暴力行为扫描：恐吓威胁扫描仪寻找未引入的文档和文件目录。

4积极扫描：应用积极扫描器寻找差不多的漏洞。 5手动式测试：以上流程也许寻找差不多的漏洞。为了更好地寻找大量的漏洞，必须手动式测试应用程序。 另：也有一项端口号扫描的作用，做为协助测试用。

Kali Linux Web 渗入测试基本原理及应用详细介绍

PROXY基本概念

正方向代理(Forward Proxy)

浏览本无法打开的网络服务器

Cache功效

手机客户端浏览受权

掩藏来访者的行迹

反方向代理（reverse proxy）

全透明代理（transparente proxy）

KALI LINUX中的代理专用工具

Mitmproxy

a man-in-the-middle proxy

Intercept HTTP requests and responses and modify them on the fly.

Save complete HTTP conversations for later replay and analysis.

Replay the client-side of an HTTP conversations.

Replay HTTP responses of a previously recorded server.

Reverse proxy mode to forward traffic to a specified server.

Transparent proxy mode on OSX and Linux.

Make scripted changes to HTTP traffic using python.

SSL certificates for interception are generated on the fly.

And much, much more.

Owasp-zap

OWASP Zed Attack Proxy

Project进攻代理（通称ZAP），是一款搜索网页页面应用程序漏洞的综合性渗入测试专用工具。它包括了阻拦代理、全自动解决、处于被动解决、暴力密码、端口号扫描及其蜘蛛搜索等作用。

OWASP ZAP为对话类调节专用工具，调节作用对网址不容易进行很多要求，对网络服务器危害较小。

Paros

paros

proxy，这是一个对Web应用程序的漏洞开展评定的代理程序流程，即一个根据Java的web代理程序流程，可以评定Web应用程序的漏洞。它适用动态性地编缉/查询

HTTP/HTTPS,进而更改cookies和表单字段等新项目。它包含一个Web通讯纪录程序流程，Web圈套程序流程(spider)，hash

计算方式，还有一个可以测试普遍的Web应用程序进攻(如SQL注入式进攻和跨站脚本攻击)的扫描器。该专用工具查验漏洞方式包含：SQL引入、跨网站脚本制作进攻、文件目录解析xml等。

Proxystrike

Plugin engine (Create your own plugins!)

Request interceptor

Request diffing

Request repeater

Automatic crawl process

Http request/response

history Request

parameter stats Request

parameter values stats

Request url parameter signing and header field signing

Use of an alternate proxy (tor for example ;D )

Sql attacks (plugin)

Server Side Includes (plugin)

Xss attacks (plugin)

Attack logsExport results to HTML or

XML