OWASP ZAP docker 进行 Selenium 脚本执行扫描

Question

我知道一种方法是使用“https://dzone.com/articles/automate-zap-security-tests-with-selenium-webdrive-1”

但是是否有直接命令可以通过 OWASP ZAP 扫描我们的 selenium 应用程序执行情况？

1. 在后台运行代理的 OWASP ZAP。
2. 执行我们独立的selenium脚本来执行。（特别是涵盖登录）。
3. 如果可能的话，进行蜘蛛收集，否则收集报告。

我认为这应该是一个完整的项目。很少有网站可以公开访问或无需登录。

Answer 1

您可以使用 docker。

1. 安装或拉取 docker 镜像 -

   " docker pull owasp/zap2docker-stable "
   

2. 您可以使用以下命令以无头模式启动 ZAP -

   " docker run -u zap -p 8080:8080 -i owasp/zap2docker-stable zap.sh -daemon -host 0.0.0.0 -port 8080 -config api.addrs.addr.name=.* -config api.addrs.addr.regex=true -config api.disablekey=true "
   

3. 独立运行 Selenium 测试，但在 selenium 测试中将代理配置为访问端口 8080（或您正在使用的端口）。

4. 以下命令将在容器中生成报告 -

   " docker exec $container_Id zap-cli report -o vulnerability.html -f HTML "
   

您可以在任何地方复制此报告。然后停止容器并将其取出。