web渗透测试工具(OWASP Zed Attack Proxy)

Zed Attack Proxy中文汉化版是一款实用性很强的电脑web渗透测试软件，它能够深入电脑系统，扫描检测出web应用的缺陷，多种方式暴力扫描漏洞，是开放人员、程序员等工作者的好助手，喜欢的朋友赶紧来IT猫扑网下载体验吧！

Zed Attack Proxy官方介绍

Zed Attack Proxy是由OWASP出品的一款web渗透测试工具，Zed的代理攻击(ZAP)也是现在最流行的OWASP项目之一。Zed Attack Proxy受欢迎是因为它有很多扩展支持，它被设计适用于有各种各样安全经验的任何人使用，因此它是开发和功能测试人员理想的渗透测试工具。

OWASP简介

开放式Web应用程序安全项目（OWASP，Open Web Application Security project）是一个组织，它提供有关计算机和互联网应用程序的公正、实际、有成本效益的信息。其目的是协助个人、企业和机构来发现和使用可信赖软件。　开放式Web应用程序安全项目（OWASP）是一个非营利组织，不附属于任何企业或财团。因此，由OWASP提供和开发的所有设施和文件都不受商业因素的影响。OWASP支持商业安全技术的合理使用，它有一个论坛，在论坛里信息技术专业人员可以发表和传授专业知识和技能。

Zed Attack Proxy使用教程

一、简单介绍

ZAproxy是一个易于使用交互式的用于web应用程序漏洞挖掘的渗透测试工具。

ZAP即可以用于安全专家、开发人员、功能测试人员，甚至是渗透测试入门人员。

ZAP除了提供了自动扫描工具还提供了一些用于手动挖掘安全漏洞的工具。

二、基本设置

1菜单栏-->>工具-->>选项-->>本地代理（ie通过本地代理进行测试）

2菜单栏-->>工具-->>选项-->>connection（设置timeout时间及网络代理、认证）

3菜单栏-->>工具-->>选项-->>Spider（设置连接的线程等） 4菜单栏-->>工具-->>选项-->>暴力破解（此处可导入字典文件） 5菜单栏-->>分析-->>扫描策略（设置扫描策略）

三、一些要点

1主动扫描和被动扫描：主动扫描就像普通的扫描器主动去探测测试漏洞，而被动扫描是将写好的正则表达式（规则）放在后台线程，不影响应用程序整体运行速度，被动地对被测试的Web应用程序进行响应（如果触发了规则）。

2请求断点：主要通过请求断点的方法实现绕过客户端验证（通常使用javascript执行），截取请求从浏览器和改变它之前提交到网站所测试的应用程序。

3目录扫描（暴力）主要通过字典文件直接访问目录的形式猜解存在的目录，可用来找管理后台，字典文件目录:G:program filesOWASPZed Attack Proxydirbuster

4模糊测试（Fuzzer）：模糊测试是指大量无效的或意外的数据提交到目标的技术。（来源·google）；在此处导入模糊测试列表：菜单栏-->>工具-->>选项-->>Fuzzer，还可以选择默认测试哪种类型的漏洞。

5调用应用程序：例如Nmap（来源google，有这个功能，但是怎么扩展不太明白） 6蜘蛛（Spider）：现手动探索应用程序，只用蜘蛛找到你已经错过了，或以某种方式隐藏的链接。

四、基本的渗透测试流程

1探索：使用浏览器来探索所有的应用程序提供的功能。打开各个URL，按下所有按钮，填写并提交的一切表单类别。如果应用程序支持多个用户，那么做的每一个用户保存在不同的文件，然后再开始使用的下一个用户，启动一个新的会话。

2蜘蛛：使用蜘蛛找到的网址。

3暴力扫描：使用暴力扫描仪找到未引用的文件和目录。

4主动扫描：使用主动扫描器找到基本的漏洞。 5手动测试：上述步骤或许找到基本的漏洞。为了找到更多的漏洞，需要手动测试应用程序。 另：还有一项端口扫描的功能，作为辅助测试用。

Kali Linux Web 渗透测试原理及使用介绍

PROXY基本原理

正向代理(Forward Proxy)

访问本无法访问的服务器

Cache作用

客户端访问授权

隐藏访问者的行踪

反向代理（reverse proxy）

透明代理（transparente proxy）

KALI LINUX中的代理工具

Mitmproxy

a man-in-the-middle proxy

Intercept HTTP requests and responses and modify them on the fly.

Save complete HTTP conversations for later replay and analysis.

Replay the client-side of an HTTP conversations.

Replay HTTP responses of a previously recorded server.

Reverse proxy mode to forward traffic to a specified server.

Transparent proxy mode on OSX and Linux.

Make scripted changes to HTTP traffic using python.

SSL certificates for interception are generated on the fly.

And much, much more.

Owasp-zap

OWASP Zed Attack Proxy Project攻击代理（简称ZAP），是一款查找网页应用程序漏洞的综合类渗透测试工具。它包含了拦截代理、自动处理、被动处理、暴力破解、端口扫描以及蜘蛛搜索等功能。

OWASP ZAP为会话类调试工具，调试功能对网站不会发起大量请求，对服务器影响较小。

Paros

paros proxy，这是一个对Web应用程序的漏洞进行评估的代理程序，即一个基于Java的web代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看 HTTP/HTTPS,从而改变cookies和表单字段等项目。它包括一个Web通信记录程序，Web圈套程序(spider)，hash 计算器，还有一个可以测试常见的Web应用程序攻击(如SQL注入式攻击和跨站脚本攻击)的扫描器。该工具检查漏洞形式包括：SQL注入、跨站点脚本攻击、目录遍历等。

Proxystrike

Plugin engine (Create your own plugins!)

Request interceptor

Request diffing

Request repeater

Automatic crawl process

Http request/response

history Request

parameter stats Request

parameter values stats

Request url parameter signing and header field signing

Use of an alternate proxy (tor for example ;D )

Sql attacks (plugin)

Server Side Includes (plugin)

Xss attacks (plugin)

Attack logsExport results to HTML or XML