security - 是否有 Web 应用程序安全审计工具可以生成报告，显示测试了哪些攻击类型？

Question

我想从测试中生成一份基本报告，我希望测试涵盖 OWASP 前 10 名。我查看了 OWASP ZAP 报告，但这只是突出了任何问题，而不是说 XY 和 Z 已经过测试而没有任何证据与详细说明发现的问题一起发生。

这不是关于如何测试 Web 应用程序的问题。问题是：是否有任何工具可以生成报告，说明测试的内容以及漏洞？

Answer 1

您可以通过选择 Analyse.../Scan Policy 查看 ZAP 正在测试的内容

我们也开始在https://code.google.com/p/zap-extensions/wiki/V2Extensions下记录规则（查看左侧树下的项目）。

请注意，没有任何工具能够自动测试所有 OWASP 前十名——您确实需要执行手动测试。

ZAP 报告确实需要改进，我希望它包括测试内容和发现内容的列表。ZAP 是一个社区项目——想从事这个工作吗？;)

西蒙（ZAP 项目负责人）