api - 利用 ZAP 进行 RESTAPI 测试

Question

我很好奇如何在 API 安全的上下文中使用 ZAP 来测试 RESTAPI。它只是可以使用的 OpenAPI 插件还是有其他（更有效的）方法？

标签： apirestzappenetration-testingpenetration-tools

Answer 1

有一个 ZAP 常见问题解答 :) https://www.zaproxy.org/faq/how-can-you-use-zap-to-scan-apis/：

ZAP 了解 JSON 和 XML 等 API 格式，因此可用于扫描 API。

问题通常是如何有效地探索 API。

有多种选择：

• 如果您的 API 具有 OpenAPI/Swagger 定义，那么您可以使用OpenAPI 插件将其导入。
• 如果您有端点 URL 列表，则可以使用包含 URL 的导入文件插件导入这些 URL。
• 如果您对 API 进行了回归测试，那么您可以通过 ZAP 代理这些测试

附加组件可从 ZAP Marketplace 获得。

一旦 ZAP 知道 URL 端点，它就可以像扫描基于 HTML 的网站一样扫描它们。

如果您没有任何这些东西，请发布到ZAP 用户组，说明您正在尝试做什么以及遇到的问题。

有关更多详细信息，请参阅博客文章使用 ZAP 扫描 API。