如何在 ZAP 中自动进行模糊测试？

Question

我们有如下要求在 ZAP 中实现自动化

1. Go 通过 ZAP 工具中的 POST 请求
2. 识别在请求选项卡中发布的值
3. 突出显示传递的值（例如：到 textarea 字段）并右键单击 > 转到 Fuzzer
4. 选择所需的注射剂，如 SQL 注射剂或 RDF 注射剂等，
5. 添加有效载荷
6. 启动模糊器

预期结果将是在模糊测试完成之前和之后生成请求的比较报告。

这可以在 ZAP 中自动化吗？

Answer 1

目前 Fuzzer 没有 web API。 很大程度上是因为我们缺乏关于此类功能应该如何工作以及他们对它的期望可能是什么的用户输入。

这是您应该提供反馈的现有问题： https://github.com/zaproxy/zaproxy/issues/1689

有一个未完成的 PR 添加了初始实现，您可以拉 PR 分支并构建插件以用于测试目的，并可能鼓励提交用户完成它： https://github.com/zaproxy/zap-extensions/拉/2222