ZAP Ajax Spider аутентификация не работает с использованием ZEST

Question

Выполните следующие шаги: 1. Запишите сценарий ZEST (проверено на работоспособность) 2. Включите сайт в контекст 3. Добавьте пользователя 4. Выберите принудительного пользователя 5. Загрузите сценарий и выберите аутентификацию на основе сценария 6. Определите индикатор выхода из системы 7. Исключите выход из паука 8. Запустите Ajax spider, выбрав контекст и пользователя

Что я упустил?

Answer 1

Я понял, что это ошибка с техникой, в которой я создавал скрипт ZEST. Если мы начнем запись напрямую и выберем скрипт аутентификации, он не заполняет автоматически все параметры и параметр URL-адреса входа. Скрипты -> Новый скрипт -> Аутентификация -> Создать новый скрипт и сохранить -> Теперь начать запись заставляет его работать. Кроме того, необходимо изменить -> включить отслеживание сеанса, чтобы сделать его постоянным.

Answer 2

Мы подробно расскажем о некоторых способах диагностики проблем аутентификации здесь: https://github.com/zaproxy/zaproxy/wiki/FAQformauth:

Если кнопка "Принудительный режим пользователя отключена - нажмите, чтобы включить" не включена, значит, вы не настроили достаточно информации для аутентификации ZAP - дважды проверьте, что вы выполнили все вышеперечисленные действия.

Если вы включили принудительный режим пользователя и по-прежнему не вошли в систему при доступе к приложению, просмотрите запросы на вкладке "Журнал":

• Если нет запроса на вход в систему, значит, вы, вероятно, не выбрали подходящий индикатор "вход / выход", попробуйте изменить его и повторите попытку.
• Если есть запрос на вход в систему, посмотрите на запросы и ответ и посмотрите, сможете ли вы выяснить, почему произошел сбой входа - вам может потребоваться изменить запрос или даже сделать несколько запросов.

Если вам нужно сделать несколько запросов на вход в систему, тогда лучше всего записать скрипт аутентификации Zest и сначала протестировать его изолированно.