OWASP Zed Attack Proxy Scan в конвейере DevOps

Question

Мое требование - выполнить «сканирование с проверкой подлинности» с помощью конвейера TFS DevOps, для этого я добавил расширение «OWASP Zed Attack Proxy Scan» в TFS и добавил задачи в конвейер. также я установил настольное приложение OWASP (2.10.0), конвейер работает нормально с «режимом без проверки подлинности» на веб-сайте, но мне нужно выполнить «сканирование с проверкой подлинности», чтобы инструмент мог также идентифицировать ошибки / уязвимости после страниц входа в систему, как это можно сделать?

Answer 1

Прежде всего, вам не нужно использовать настольное приложение ZAP - ZAP можно запускать разными способами, которые больше подходят для автоматизации - см. Https://www.zaproxy.org/docs/automate/

Во-вторых, аутентификация может быть настоящей головной болью - существует так много способов, которыми приложения справляются с этим :( Взгляните на официальные видео ZAP на https://www.zaproxy.org/videos-list/ - вы можете выполнить поиск по запросу "Auth "в тегах, чтобы сузить их до наиболее релевантных.