问题标签 [zap]

我正在使用 OWASP ZAP 软件来测试一个简单的 asp.net 站点是否存在漏洞。我收到了我不太了解的格式字符串攻击类型的中等警报。详细来说，我得到了这些信息：

描述：当输入字符串的提交数据被应用程序评估为命令时，会发生格式字符串错误。

网址：http://example.com/page.aspx

范围：ctl00%24ContentPlaceHolder1%24dropType

攻击：ZAP

解决方法：通过适当删除坏字符串重写后台程序。这将需要重新编译后台可执行文件。

其他信息：潜在的格式字符串错误。脚本关闭了 /%s 上的连接

参考：https ://www.owasp.org/index.php/Format_string_attack

ddl是这样的：

最初我认为问题在于从中获取价值，所以我将代码更改为：

至：

但是重新编译并重新运行测试，我仍然收到警报。然后我尝试评论整行代码，只是为了测试，但编译并重新运行测试我仍然有警报。是误报，考虑到现在我在 aspx 页面中只是一个简单的下拉列表，而没有在代码中引用它？

更新：

如果我添加具有相同 ddl 的页面 page2.aspx，则不会收到任何漏洞警报。与导致警报的具有相同 dll 的其他页面的唯一区别是，在其他页面中没有对 page2.aspx 的引用，但在某些页面中，有指向 page.aspx 的链接，即警报页面：

所以我认为警报在某种程度上是关于那个..

我已经开始学习 OWASP ZAP，但我对 OWASP ZAP 中的被动扫描感到困惑。

右键单击站点树中的节点时，我看不到任何被动扫描选项，但是在工具 | 下。选项 我可以看到被动扫描规则。

1. 如何在 OWASP ZAP 中运行被动扫描？
2. 快速启动中的“要攻击的 URL”是否与爬网后的主动扫描相同

谢谢

我是 ZAP 工具的新手，如果问题很愚蠢，请提前抱歉，但到目前为止我找不到答案......

我必须修复某些应用程序中的所有漏洞，所以我在本地安装了 ZAP 代理工具，然后手动探索应用程序，收集所有请求并针对它运行“活动扫描程序”。到目前为止一切都很好，但问题是应用程序很大，手动覆盖所有内容非常困难且耗时。幸运的是，我们有专门的自动化环境，我可以在其中设置 ZAP 代理并让测试开始并为我填充上下文（用于测试的 url 集）

所以现在我的任务是以某种方式在不同环境之间共享上下文，并能够更改基地址

例如，我在somedomain /myapp上填充了上下文，并希望针对部署在本地或不同服务器（例如localhost /myapp）中的相同应用程序运行 ZAP 工具

如果有人可以分享如何实现这一目标的任何信息，那将非常有帮助。

提前谢谢你，尤金

我们正在运行 OWSAP 的 ZAP 工具来检查我们应用程序中的安全漏洞。ZAP 工具报告了许多问题，例如路径遍历、跨站点脚本、操作系统命令注入。在这里，我不明白在我们的应用程序中执行 OS 命令时到底发生了什么。以下是我们项目中上传文件时报告的示例。

在上面的 url 中，攻击是针对“filesize”参数执行的，攻击是“837259|timeout /T {0}”。根据OWSAP给出的描述，我知道这是ZAP工具执行的超时命令，但我不明白它与我的应用程序有什么关系。

谁能告诉我它到底是什么以及如何防止这种攻击？

启用 SSL 后，我无法将 ZAP 代理与 Web 应用程序一起使用。应用程序使用 Windows 身份验证。在启用 SSL 之前工作正常。有任何想法吗？

我在域上运行 OWASP ZAP Spider 并检索 URL 列表。在列表中，我可以看到几个超出范围的 URL，如下图所示。

我想将所有这些输出导出到 Excel 中（包括所有标记为“超出范围”的条目）。任何人都可以帮我吗？

我使用 ZAP 拦截流量。

效果很好，我的请求 - 响应对有这样的历史：

为什么ID不连续？

在 ZAP 中创建动态证书的选项不可用。我看不到它可能移动到的任何地方，谷歌也没有提供帮助。我在 Kali VM 上运行它。

有人知道它是否被删除了吗？如果没有，我在哪里/如何到达它？

谢谢。

我已将我的 google chroome 浏览器配置为ZAP默认端口“8080”和“LocalHost”，如找到的 google 一样。并在输入任何 http 请求时显示 Look proxy settings Already in use: JVM_Bind

我已经检查了系统中的命令，netstat -an它显示端口8080是侦听模式。

也无法添加以将证书添加到我的浏览器，从谷歌检查了很多东西，还尝试重新安装软件，所以请帮助我提供适当的解决方案。

• Q1>启动时出现JVM_Bind错误是什么？
• Q2> 如何在我的浏览器中开始录制。
• Q3> 是否有任何选项可以更改ZAP Tool的默认代理设置。
• Q4> 如何为“https”类型的请求安装证书。

请了解问题和正确的解决方案。

提前致谢。

我正在使用 Zap-Cli，它是 Owasp ZAP 的命令行工具。我成功地为网页创建了上下文，但在身份验证后无法抓取网页。它是通过 GUI 工具完成的，但我和我的团队正在致力于从命令行自动化该过程。我们被困在这一点上。为了您的方便，提供一些重要的链接。

https://github.com/Grunny/zap-cli https://gist.github.com/kvkvenugopal/1428626e0201a746e390e03880356376

等待帮助/建议。我们现在正在尝试 2 周。到目前为止，一切都在命令行中工作。我们能够打开 URL，并为身份验证创建上下文。在此之后，如果我们从 GUI 运行蜘蛛，那么它正在工作，但不是从命令行。

如有需要，请询问更多详情。我的团队认为当前的 ZAP API 存在一些问题，在从命令行进行身份验证后不允许进行爬虫。

任何专家的建议/建议都会有所帮助。

谢谢你。