问题标签 [security-testing]

我在使用 google chrome 在我的 macbook 上设置 burp 套件时遇到问题。我遵循了官方网站上的所有指南，我的设置如下所示：

但是当我访问网站时，我在程序中代理下的拦截选项卡中看不到任何请求/响应。为什么不？

只是想知道在构建变体中可以访问同一组服务器环境的应用程序开发是否是一种好习惯。例如，对于生产构建，我可以通过从隐藏设置更改配置或在登录屏幕上附加环境前缀来访问开发、登台和生产服务器。

什么样的攻击是可能的，以及支持开发人员不遵循这种做法的因素是什么。我认为这是一个很大的安全风险，内部员工或聪明的黑客可以使用这样的设置来攻击安全数据库。

如果这是一个安全风险，那么应该如何组织构建变体及其与服务器环境的映射。例如，develop build 应该指向开发 web 服务器，test build 应该指向测试服务器等等。

进一步了解如何充分利用 playstore alpha、beta 和 prod 渠道。发布到 alpha 通道的构建是否应该指向生产。或者他们应该指向不同的环境。

我正在寻找静态应用程序安全测试 (SAST) 工具，但我买不起商业产品（例如 Checkmarx）。

SonarQube 是一个很棒的静态代码分析工具，但我注意到只有少数“漏洞”类型的规则（“漏洞”等于“安全”，对吗？）。

我计划扩展一些自定义插件，包括许多漏洞规则（可能有数百条 C/C++、Java 和 SonarQube 支持的其他语言的规则）。

这是使 SonarQube 成为“类似 Checkmarx”的工具的可行方法吗？还是 SonarQube 适合静态安全测试？（我不确定 Sonar Scanner 是否适合扫描安全问题）

非常感谢！

我想检查登录页面验证的质量。那么我可以使用 OWASP zap 来实现这一点吗？我想重新识别弱密码以及弱会话令牌、错误消息等的生成。在 Zed 攻击代理中是否可能

我想将 zap 报告配置为我的邮件 ID，以便每当我生成 ZAP 报告时它都应该将其发送到我的邮件。有可能这样做吗？

语境 ：

我们使用 OWASP Zed Attack Proxy 2.7.0 版对应用程序进行漏洞测试。我们收到了一些警报，正在解决问题。

问题 ：

我们想挑出一个警告说“Web Browser XSS Protection Not Enabled”并运行验证。

我们正在尝试的解决方案：

我们正在探索的可能性之一是操作模式。我们现在可以执行其中一种操作模式，例如标准、攻击等...。有没有办法自定义操作模式并运行单个警报？

我已经搜索了 ZAP 文档和OWASP Top 10 的 ZAP 覆盖率， 但尚未确定如何使用 ZAP 自动检查弱密码策略和SSL/TLS 测试。

ZAP Marketplace 中有插件吗？有没有一种可以编写脚本的使用 ZAP 的方法？

我正在使用 2018 年 8 月的 ZAP 弱版本。

我已经开始使用 OWASPZAP（手动扫描），到目前为止，学习和同步执行一直令人兴奋。

我对我们的应用程序进行了被动扫描，发现了 3 个警报并解释了描述/其他信息/解决方案/参考，如下所示：

• X-Frame-Options Header Not Set：（风险：中等，信心：中等，参数：X-Frame-Options）
• Web Browser XSS Protection Not Enabled：（风险：低，信心：中，参数：X-XSS-Protection）
• X-Content-Type-Options Header Missing：（风险：低，置信度：中，参数：X-Content-Type-Options）

我的问题是：

• 有没有办法知道 OWASPZAP 在扫描开始之前将执行的扫描类型？
• 扫描（手动）是否可配置？
• 是否有关于 OWASPZAP（手动）执行的扫描类型的任何文档？

注意：粗略的问题直接涉及主要用于编程的工具（例如 OWASPZAP）。

Owasp Zap：蜘蛛扫描在 99% 时停止。即使等待了很长时间，也没有完成 100%。请帮我！ 截屏

我知道有 zapv2 库，但是如何在 zapv2 中自动化 Fuzz 呢？

是否可以使用 zapv2 定位模糊文件？并触发模糊扫描？

谢谢 ！