Может ли OWASP ZAP выполняться на защищенном веб-сайте?

Question

Я новичок в ZAP 2.5 и у меня есть эти вопросы, которые еще ответил на момент:

1. Может ZAP быть выполнены в защищенном веб-сайте? Обратите внимание, что я не знаю, какой метод используется для защиты веб-сайта. Но всякий раз, когда я пытаюсь выполнить ZAP, он проверяет только форму входа в систему на сайте; ZAP не вырывается глубоко. Это нормально, зная, что сайт защищен?
2. Я не взламываю сайт; что мой наставник хотел, чтобы я знал, может ли я или ZAP выполнять тестирование безопасности на нашем веб-сайте, даже если он защищен. Это действительно возможно? Если да, то как?

Я надеюсь, что кто-то просветит меня этим, потому что до сих пор я еще не нашел ответов. Спасибо!

Answer 1

Он может. Вы можете прочитать, как настроить его in the manual.

Answer 2

Средства безопасности, такие как ZAP, не работают по магии. Они позволяют автоматизировать повторяющиеся задачи, которые потребуются вручную для pentester для выполнения вручную.

Если у вас сложный процесс входа в систему, вам нужно будет понять, как он работает, чтобы настроить ZAP как его обрабатывать. Прокси-сервер вашего браузера через ZAP. Войдите в систему вручную и просмотрите запросы и ответы, которые проксированы. Попытайтесь понять, как работает аутентификация - как только вы это сделаете, вы можете приступить к рассмотрению того, как автоматизировать вход в систему через ZAP.