如何使用OWASP ZAP基线扫描进行身份验证

Question

我正在尝试在使用身份验证的网站上使用OWASP ZAP运行基线扫描。它使用基于JSON的身份验证。但是当我运行它时，我在结果中看到它没有登录。

我这样运行：

docker run -v C:/ZAP/:/zap/wrk owasp/zap2docker-weekly zap-baseline.py -t https://myaddress.com -n somecontext.context -z "-config forcedUser.setForcedUserModeEnabled=true"

这是我做的手动测试。

1. 以GUI模式运行ZAP
2. 导入的上下文
3. 通过单击按钮打开“强制用户模式”
4. 运行自动扫描。它起作用了，所以我认为上下文还可以

泊坞窗安装（-v）似乎也没问题。当我添加-r report.xml时，在完成zap之后，我可以在C：/ ZAP /中看到该报告。

Answer 1

基线扫描与有限功能基线完全相同：https://github.com/zaproxy/zaproxy/wiki/ZAP-Baseline-Scan

ICTU对基准扫描进行了第三方修改，支持身份验证：https://github.com/ICTU/zap-baseline