ZAP ابزاری متن‌باز برای آزمون امنیت برنامه‌های وب است. این ابزار Proxy بین مرورگر و سرویس می‌شود و امکان بررسی درخواست‌ها و پاسخ‌ها و اجرای اسکن‌های مجاز را فراهم می‌کند.
کاربرد توسعه‌دهنده
- Proxy کردن ترافیک محیط آزمایش و بررسی Headerها
- Passive Scan برای مشاهده هشدارهای بدون تغییر رفتار سرور
- Active Scan فقط روی محیطی که مالک یا دارای مجوز تست آن هستیم
- تصدیق دستی یافته‌هایی مانند هدر امنیتی یا خطای احراز هویت
# Example on a local development application that you own
# ZAP CLI or containerized scans require appropriate target permissions.
docker run --rm -v "$PWD":/zap/wrk:rw -t ghcr.io/zaproxy/zaproxy:stable zap-baseline.py -t http://host.docker.internal:8080 -r zap-report.htmlمحدودیت
اسکن خودکار تمام ضعف‌های منطقی مانند دسترسی به سفارش متعلق به کاربر دیگر را پیدا نمی‌کند. این ابزار جایگزین تست مجوزدهی و Threat Modeling نیست.
اصطلاحات مرتبط: تست امنیت پویای نرم‌افزار، اوواسپ، تست امنیت نرم‌افزار، رابط برنامه‌نویسی کاربردی.