OWASP ZAP可以在受保护的网站上执行吗？

Question

我是ZAP 2.5的新手，我现在已经回答了这些问题：

1. ZAP可以在受保护的网站上执行吗？ 请注意，我不知道用什么方法来保护网站。但每当我尝试用它执行ZAP时，它只会检查网站的登录形式; ZAP并没有深入挖掘。知道网站受到保护是正常的吗？
2. 我不是在攻击网站;只是我的导师想让我知道我或ZAP是否有能力使用我们的网站进行安全测试，即使它受到保护。真的有可能吗？如果是这样，怎么样？

我希望有人能用这启发我，因为到目前为止，我还没有找到任何答案。谢谢！

Answer 1

它可以。您可以阅读阅读如何配置它in the manual。

Answer 2

像ZAP这样的安全工具不会通过魔法工作。它们允许您自动执行重复性任务，这些任务可以使手动测试仪更长时间以手动执行。

如果您有复杂的登录过程，那么您需要了解它的工作原理才能配置ZAP如何处理它。通过ZAP代理您的浏览器。手动登录并查看代理的请求和响应。尝试了解身份验证的工作原理 - 一旦完成，您就可以开始了解如何通过ZAP自动登录。