通过docker命令传递login参数以使用owasp zap进行扫描

我试图执行一个命令来攻击login的应用程序，但我不知道如何将我的用户和密码传递给该url。

login发送带有用户名和密码的post来validation是否存在。

命令atack。

docker run –rm -v $（pwd）：/ zap / wrk /：rw -t owasp / zap2docker-stable zap-baseline.py -t http://172.31.95.32:8080/myapp/login -g gen。 conf -r testreport.html authMethodName：formBasedAuthentication authMethodConfigParams：loginUrl = http://172.31.95.32:8080/myapp/login

Answer 1

你最好在gui模式下运行ZAP，并整理你可以导出的Contextconfiguration。 然后，您可以在需要的任何CI或CD过程中导入和重新使用您的上下文。

zap-baseline.py是为了完成它的名字所暗示的。 为您的应用/服务提供一个简单的（被动的）评估。

有关ZAP基线扫描的更多详细信息，请访问：

• https://github.com/zaproxy/zaproxy/wiki/ZAP-Baseline-Scan
• https://blog.mozilla.org/security/2017/01/25/setting-a-baseline-for-web-security-controls/

Answer 2

仅供参考。

我不得不使用ictu / zap2docker-weekly图像来实现这个目标。

这里是一些例子的回购。

https://github.com/ICTU/zap-baseline