OWASP ZAP：自动化 Web 安全扫描

FreeGuideOnline 最新 2026-07-02

OWASP ZAP 入门与自动化扫描实战

OWASP ZAP（Zed Attack Proxy）是世界上最受欢迎的开源 Web 应用安全扫描工具之一。它被设计成既能满足安全专家的需求，也足够友好让开发人员和功能测试人员轻松上手。本教程将带领你从安装、配置到执行自动化安全扫描，快速掌握 ZAP 的核心用法。

什么是 OWASP ZAP

ZAP 是一把“瑞士军刀”，在渗透测试和安全测试中扮演多种角色：

  • 拦截代理：捕获浏览器与 Web 应用之间的所有流量，允许你查看和修改请求/响应。
  • 主动扫描器：自动对目标发起攻击，检测漏洞（如 SQL 注入、XSS 等）。
  • 被动扫描器：仅分析传输的流量而不主动发起恶意请求，发现潜在的弱点。
  • 自动化集成工具：提供强大的 REST API 和命令行接口，可无缝集成到 CI/CD 流水线中。

与商业扫描器不同，ZAP 完全免费、开源，并被全球众多 Bug Bounty 项目、DevSecOps 管道和安全团队使用。

安装与环境准备

ZAP 提供了跨平台支持，你可以根据操作系统选择安装方式。

在 Windows/macOS/Linux 上安装

  • 推荐方式：访问 ZAP 官方下载页 获取相应系统的安装包。
    对于 macOS，也可使用 Homebrew：
    brew install --cask owasp-zap
    Linux（Debian/Ubuntu）可直接下载 .deb 包或使用 Snap：
    sudo snap install zaproxy --classic

  • Docker 方式（最轻量，适合 CI 环境）：

    docker pull owasp/zap2docker-stable
docker run -t owasp/zap2docker-stable zap-baseline.py -t https://example.com

安装完成后启动 ZAP，你会看到一个启动引导界面，支持保留会话或创建新会话。建议初学者选择**“是，我希望将此会话保存到磁盘”**，以便记录扫描结果。

配置浏览器代理（关键步骤）

ZAP 默认监听在 localhost:8080。要让 ZAP 拦截 Web 流量，需要配置浏览器代理：

  1. 手动设置浏览器代理为 127.0.0.1:8080（同时支持 HTTP 和 HTTPS）。
  2. 点击 ZAP 工具栏中的 “打开浏览器” 按钮，可以自动启动一个已配置好代理的浏览器，推荐初学者使用此方法。
  3. 访问目标 URL 之前，需要在 ZAP 中生成并导入 CA 证书，才能完美解析 HTTPS 流量：
    • 动态 SSL 证书：ZAP 会为每个站点自动生成临时证书。但为了避免浏览器告警，可导出 ZAP 证书并安装到浏览器受信任的根证书颁发机构中。
    • 在 ZAP 菜单找到 选项 → 动态 SSL 证书，点击 保存 导出证书，然后在浏览器中导入并信任。

完成这些步骤后，你就可以在浏览器中正常访问 HTTPS 网站，所有流量都会在 ZAP 的 历史记录 标签页中可见。

探索目标应用

真正的安全测试需要覆盖应用的所有功能点。ZAP 通过“探索”环节来构建站点地图。

手动探索（蜘蛛爬取）

手动浏览是最可靠的方式：在配置好代理的浏览器中正常使用应用，登录、点击链接、提交表单、触发所有 AJAX 请求。ZAP 会记录所有经过的请求。

如果你想节省时间，可以使用 ZAP 自带的传统爬虫：

  • 在 站点 面板右键点击目标站点，选择 攻击 → 蜘蛛。
  • 选择 蜘蛛 选项卡，点击 开始扫描。传统爬虫会解析 HTML 并自动发现 URL，但它无法处理需要 JavaScript 渲染的现代应用。

AJAX 蜘蛛（用于重型 JavaScript 应用）

对于 SPA 或重度依赖 JS 的应用，需要启用 AJAX 蜘蛛：

  • 确保你的 ZAP 版本包含这个插件（默认已安装）。它内部使用 Crawljax 驱动浏览器来点击元素。
  • 在站点上右键选择 攻击 → AJAX 蜘蛛，设定浏览器（如 Firefox、Chrome）以及爬行深度、最大状态数等参数。
  • 点击开始，AJAX 蜘蛛会启动无头浏览器自动探索。这种方式可以发现传统蜘蛛遗漏的页面。

探索完成后，站点树中将显示完整的应用结构。

执行自动化扫描

ZAP 的扫描分为被动扫描和主动扫描，它们经常组合使用。

被动扫描

被动扫描始终在后台运行，只要你是通过代理浏览应用，它就会自动分析请求和响应，检测信息泄露、不安全的 Cookie、缺失的安全头等问题。你可以在 警报 标签页查看所有被动扫描发现的风险，它们以“中”、“低”、“信息”等级呈现。

注意：被动扫描不会发送任何恶意请求，因此可以安全地对生产环境进行（但需获得授权）。

主动扫描

主动扫描会向目标应用发送修改过的请求，包含攻击 payload，以寻找真正可利用的漏洞。务必只在拥有明确授权的目标上运行。

开始主动扫描的步骤：

  1. 确保目标站点已出现在站点树中。你可以手动添加或通过代理、蜘蛛获得。
  2. 右键点击目标 URL（通常是根域名），选择 攻击 → 主动扫描。
  3. 在弹出的对话框中，可以配置扫描策略、线程数等。对于初学者，保留默认的 默认策略 即可。
  4. 点击 开始扫描。根据应用复杂度，主动扫描可能会持续几分钟到数小时。
  5. 扫描进度可在 主动扫描 选项卡查看。扫描期间请勿随意操作代理浏览器，以免干扰。

解读扫描结果与生成报告

扫描完成后，你需要在 警报 面板中分析漏洞。

理解警报分类

ZAP 使用严重性等级标记每个警报：

  • 高：直接威胁，如反射型 XSS、SQL 注入。
  • 中：可能导致间接危害，如 CSRF 漏洞、目录列表。
  • 低：最佳实践问题，如 Cookie 没有 SameSite 属性。
  • 信息：可能对攻击者有用的信息，如服务器版本、调试信息泄漏。

点击某个警报可以查看详细信息、受影响的请求/响应、修复建议以及外部参考（CWE、OWASP 分类）。
务必注意每个警报的置信度（Certainty）：“高”置信度的警报几乎可以确定是真实漏洞，“低”置信度则需要手动验证。

排除误报与手动验证

主动扫描可能会产生误报。例如，某些 WAF 的响应可能被误判为漏洞。你可以通过以下方式处理：

  • 右键点击警报，标记为 假警报 或 风险已接受。
  • 在浏览器或多工具（如 Burp Suite）中手动重现该请求，确认漏洞是否真实存在。
  • 调整 主动扫描策略 以降低特定检测的敏感度。

导出报告

ZAP 支持多种报告格式，适合不同受众：

  1. 在 报告 菜单选择 生成 HTML 报告 或 生成 XML 报告。
  2. HTML 报告适合管理层或开发团队阅读，包含彩色图表、漏洞详情和修复建议。
  3. 你还可以导出为 JSON 格式，用于进一步处理或集成到自定义仪表盘。
  4. 选择保存路径后，ZAP 将生成完整的报告文件。

自动化扫描进阶：REST API 与命令行

对于持续集成（CI），手动操作 ZAP 并不现实。这时可以利用 ZAP 强大的 API 和无头模式。

使用 ZAP API

ZAP 默认开启 API，访问 http://localhost:8080/UI/（通常是 http://localhost:8080/JSON/core/view/version）可以看到接口。你可以用 curl 或 Python 等工具驱动整个扫描流程。

例如，用 curl 启动蜘蛛：

curl "http://localhost:8080/JSON/spider/action/scan/?apikey=YOUR_API_KEY&url=https://example.com"

几乎所有的图形界面操作都有对应的 API 端点。推荐在 ZAP 图形界面中，转到 工具 → 选项 → API 设置 API 密钥以保护接口，然后在 http://localhost:8080/UI/ 的 API 页面交互式探索所有端点。

Docker 封装扫描

ZAP Docker 镜像内置了几个便捷的扫描脚本，最适合集成到 CI/CD：

  • zap-baseline.py：执行快速被动扫描，耗时约 5-10 分钟，适合每个 PR 触发。
  • zap-full-scan.py：执行被动+蜘蛛+主动扫描，适合 nightly build 或发布前扫描。
  • zap-api-scan.py：针对 OpenAPI/SOAP 接口定义进行扫描。

示例（在 Jenkins 或 GitLab CI 中）：

stages:
  - security_scan

owasp_zap:
  stage: security_scan
  image: owasp/zap2docker-stable
  script:
    - zap-full-scan.py -t https://staging.example.com -r zap_report.html
  artifacts:
    paths:
      - zap_report.html

扫描结束后，-r 参数会生成 HTML 报告，可下载保存。通过添加 -j 可以同时生成 JSON 报告，方便结果处理。

最佳实践与避坑指南

  1. 始终获得授权：未经明确书面许可，不要扫描任何目标。扫描生产环境可能触发警报或导致服务中断。
  2. 控制扫描强度：主动扫描对服务器压力较大，建议在非高峰期或测试环境执行。可以通过 主动扫描策略 调整线程数量和请求延迟。
  3. 将安全测试左移：鼓励开发者在本地运行 ZAP Docker 镜像，对本地应用进行快速扫描。可以编写脚本 zap-baseline.py -t http://localhost:3000，作为 pre-commit 钩子的一部分。
  4. 管理会话：对于复杂目标，建议保存 ZAP 会话文件，下次可以继续分析，无需重复探索。
  5. 持续更新：ZAP 以及其规则库更新频繁，记得定期升级以获得最新漏洞检测能力。

总结

你现在已经具备了使用 OWASP ZAP 进行 Web 应用安全测试的核心能力。从代理配置、站点探索、被动/主动扫描，到结果分析和自动化集成，ZAP 几乎覆盖了安全测试的方方面面。将它融入你的开发流程，可以显著降低应用上线前的风险。

下一步你可以深入学习 ZAP 的脚本扩展、自定义扫描策略，或者将 ZAP API 与 Python 结合，构建自己的自动化安全平台。