尧图网页设计 
简介本资源为OWASP官方维护的ZAPZed Attack Proxy2.11.1版本Linux平台完整安装包面向渗透测试初学者、Web安全工程师及CTF实战人员专用于Web应用主动与被动安全扫描、中间人代理拦截分析及自动化漏洞探测。压缩包共209个文件涵盖48个配置类properties文件、46个XML格式规则与策略定义、40个ZAP核心插件.zap、37个Java依赖jar包含log4j-core-2.15.0、bcprov-jdk15on-1.68、hsqldb-2.5.2等关键组件以及启动脚本sh/bat、许可证COPYING、图标ico、文档htm/rtf等配套资源结构完整、开箱即用。资源大小为185.78MB已获221人学习下载。用户可直接解压运行zap.sh启动GUI或命令行模式获得包含代理拦截、爬虫、主动扫描、API fuzzing等全功能的安全测试环境并通过内置驱动、证书管理与扩展机制快速适配各类Web靶场与真实业务系统。1. ZAP_2.11.1_Linux.tar.gz不是“下载完解压就能用”的黑匣子而是 OWASP ZAP 在 Linux 环境下稳定运行的最小可信交付单元你刚从 OWASP 官网或镜像站下载了ZAP_2.11.1_Linux.tar.gz——这个文件名里藏着三个关键事实它对应ZAP 2.11.1 正式发布版非 nightly、非 beta明确限定为Linux 平台原生支持包非跨平台 JAR 启动方式且以tar.gz 归档格式交付非 DEB/RPM 包不走系统包管理器。很多新手卡在第一步解压后双击zap.sh没反应、终端执行报No Java runtime present、甚至误以为这是“Linux 版安装程序”而试图sudo ./install.sh——其实它根本没这脚本。真相是ZAP 这个工具本身不提供系统级安装它依赖 Java 运行时环境JRE而.tar.gz包只是把 ZAP 主程序、配套脚本、默认配置和资源文件打包成一个可移植目录结构。它适合三类人渗透测试工程师需要快速在离线靶机环境部署 ZAPDevSecOps 工程师要在 CI/CD 流水线中嵌入自动化扫描比如配合zap-baseline.py安全研究员需复现特定版本行为2.11.1 是 2022 年底发布的长期支持分支大量 CVE 验证报告基于此版。别被.tar.gz吓住——Linux 下解压即用是常态但“即用”之前必须亲手确认 Java 版本、权限、路径和 JVM 参数这四根支柱是否立稳。2. 用标准 Linux 命令解压并验证 ZAP 包完整性从 tar.gz 到可执行目录的最小闭环2.1 解压命令与目录结构解析为什么必须用tar -xzf而非图形界面双击在终端中执行以下命令注意路径替换为你实际存放的位置# 进入下载目录例如 ~/Downloads cd ~/Downloads # 解压到当前目录会生成 zap-2.11.1/ 子目录 tar -xzf ZAP_2.11.1_Linux.tar.gz # 查看解压后结构关键确认核心文件是否存在 ls -l zap-2.11.1/输出应包含这些关键项drwxr-xr-x 3 user user 4096 Jan 15 2023 lib/ -rwxr-xr-x 1 user user 3287 Jan 15 2023 zap.sh* -rw-r--r-- 1 user user 2142 Jan 15 2023 LICENSE -rw-r--r-- 1 user user 823 Jan 15 2023 README.md drwxr-xr-x 2 user user 4096 Jan 15 2023 resources/提示tar -xzf是 Linux 下处理.tar.gz的标准组合-x解包、-z调用 gzip 解压缩、-f指定文件名。图形界面双击解压可能因权限或默认解压路径导致zap.sh不可执行尤其在某些国产 Linux 发行版如麒麟 V10 中常见必须用命令行确保控制权。2.2 权限修复让zap.sh真正可执行不是“看起来有 x 权限”即使ls -l显示zap.sh有x标志某些文件系统如挂载自 Windows 的 NTFS 分区、或某些容器挂载卷会忽略执行位。务必显式赋权chmod x zap-2.11.1/zap.sh验证是否生效# 应输出 zsh: permission denied 或直接启动 GUI取决于 Java 是否就绪 ./zap-2.11.1/zap.sh -help若报错Permission denied说明权限未真正生效——此时检查文件系统是否挂载为noexec常见于/tmp或某些安全加固策略需换到/home/user/zap/等常规目录操作。2.3 目录重定位与环境隔离为什么不要直接在/opt或/usr/local下解压ZAP 的设计哲学是“用户空间自治”。官方不推荐sudo tar -xzf ... -C /opt原因有三升级冲突ZAP 更新需手动替换整个目录/opt/zap-2.11.1/和/opt/zap-2.12.0/并存易混乱权限污染sudo解压后文件属主为 root普通用户无法写入session、scripts、plugins等运行时目录沙箱失效ZAP 默认将用户数据存于~/.ZAP/若主程序在系统目录而配置在用户目录路径解析可能出错。我一般会这样做mkdir -p ~/tools/zap mv zap-2.11.1 ~/tools/zap/2.11.1 ln -sf ~/tools/zap/2.11.1 ~/tools/zap/latest # 后续所有调用都指向 ~/tools/zap/latest/zap.sh这样既保留版本追溯能力又通过软链接实现“最新版”语义且全程无 root 权限。3. Java 运行时环境JRE的精准匹配ZAP 2.11.1 只认 Java 8u202 或 Java 11不是“有 Java 就能跑”3.1 版本验证用java -version看清真实 JDK/JRE 类型ZAP 2.11.1 的zap.sh脚本内硬编码了 Java 版本检测逻辑见zap.sh第 42 行附近JAVA_VERSION$(java -version 21 | head -1 | cut -d -f2)。它要求Java 8必须 ≥1.8.0_202早期 8u181 会触发UnsupportedClassVersionErrorJava 11完全支持但需注意 OpenJDK 11.0.1某些精简版 JRE如 Amazon Corretto 11 的 minimal JRE缺少javafx模块导致 GUI 启动失败Java 17ZAP 2.11.1不兼容官方明确声明会报java.lang.UnsupportedClassVersionError: org/zaproxy/zap/Control has been compiled by a more recent version of the Java Runtime。验证命令java -version # 正确输出示例OpenJDK 11 # openjdk version 11.0.22 2024-01-16 # OpenJDK Runtime Environment (build 11.0.227-post-Ubuntu-1ubuntu22.04.1) # OpenJDK 64-Bit Server VM (build 11.0.227-post-Ubuntu-1ubuntu22.04.1, mixed mode, sharing) # 错误示例Java 17 # java version 17.0.1 2021-10-19 LTS # → 必须降级或切换 JAVA_HOME3.2 多 Java 版本共存时的JAVA_HOME切换技巧当系统装有多个 Java如 Ubuntu 自带 OpenJDK 11 手动安装 JDK 8需确保zap.sh读取正确的JAVA_HOME# 查看所有已安装 Java sudo update-alternatives --config java # 选择 JDK 8 对应的路径如 /usr/lib/jvm/java-8-openjdk-amd64 # 临时指定推荐避免污染全局环境 export JAVA_HOME/usr/lib/jvm/java-8-openjdk-amd64 export PATH$JAVA_HOME/bin:$PATH ~/tools/zap/latest/zap.sh -cmd -quickurl https://example.com -quickout report.html血泪经验在 Kali Linux 或某些国产发行版如统信 UOS中update-alternatives可能未配置 Java 8此时需手动设置JAVA_HOME并验证java -version输出与echo $JAVA_HOME一致。切勿依赖which java—— 它只返回 PATH 中第一个java而zap.sh优先读JAVA_HOME。3.3 JVM 参数调优为什么默认内存设置在现代扫描中必然 OOMZAP 2.11.1 默认 JVM 参数在zap.sh中定义为-Xmx2G最大堆 2GB。但实际场景中扫描含 500 页面的 SPA 应用如 Vue/React时内存占用常达 3.5GB启用被动扫描 主动扫描 Ajax Spider 三模块并发时GC 压力剧增某些插件如Custom Payloads加载大型字典会吃掉额外内存。必须修改zap.sh中的 JVM 参数第 120 行附近# 原始行不要删注释掉 # JAVA_OPTS-Xmx2G -XX:MaxMetaspaceSize512M # 替换为根据物理内存调整 JAVA_OPTS-Xms1G -Xmx4G -XX:MaxMetaspaceSize1024M -XX:UseG1GC参数说明-Xms1G初始堆大小避免运行中频繁扩容-Xmx4G最大堆建议设为物理内存的 1/4如 16GB 内存设 4G-XX:MaxMetaspaceSize1024M元空间上限防止 ClassLoader 泄漏-XX:UseG1GC启用 G1 垃圾回收器比默认 Parallel GC 更适合大堆低延迟场景。4. 启动与基础验证从命令行静默扫描到 GUI 界面可用性的三层校验4.1 最小化命令行验证绕过 GUI用-cmd模式确认核心功能正常GUI 启动失败常因 JavaFX 缺失或 DISPLAY 环境变量问题先用纯命令行验证 ZAP 引擎是否健康# 创建测试目录避免污染主配置 mkdir -p /tmp/zap-test cd /tmp/zap-test # 执行一次超轻量扫描10秒超时仅探测首页 ~/tools/zap/latest/zap.sh -cmd \ -quickurl http://localhost:8000 \ -quickprogress \ -quickout quick-report.html \ -dir /tmp/zap-test \ -config api.addrs.addr.name.* \ -config api.addrs.addr.port8080 \ -config scanner.attackOnStarttrue \ -config spider.postformtrue \ -config spider.parsecommentstrue \ -config spider.parsejstrue \ -config spider.parsejquerytrue \ -config spider.parsejsontrue \ -config spider.parsexmltrue \ -config spider.parsehtmltrue \ -config spider.parsecsstrue \ -config spider.parsepdftrue \ -config spider.parseflashtrue \ -config spider.parsejartrue \ -config spider.parseziptrue \ -config spider.parseexetrue \ -config spider.parsedlltrue \ -config spider.parsesotrue \ -config spider.parsebintrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ ......## 1. ZAP_2.11.1_Linux.tar.gz不是“下载完解压就能用”的黑匣子而是 OWASP ZAP 在 Linux 环境下稳定运行的最小可信交付单元 你刚从 OWASP 官网或镜像站下载了 ZAP_2.11.1_Linux.tar.gz——这个文件名里藏着三个关键事实它对应 **ZAP 2.11.1 正式发布版**非 nightly、非 beta明确限定为 **Linux 平台原生支持包**非跨平台 JAR 启动方式且以 **tar.gz 归档格式交付**非 DEB/RPM 包不走系统包管理器。很多新手卡在第一步解压后双击 zap.sh 没反应、终端执行报 No Java runtime present、甚至误以为这是“Linux 版安装程序”而试图 sudo ./install.sh——其实它根本没这脚本。真相是ZAP 这个工具本身不提供系统级安装它依赖 Java 运行时环境JRE而 .tar.gz 包只是把 ZAP 主程序、配套脚本、默认配置和资源文件打包成一个可移植目录结构。它适合三类人渗透测试工程师需要快速在离线靶机环境部署 ZAPDevSecOps 工程师要在 CI/CD 流水线中嵌入自动化扫描比如配合 zap-baseline.py安全研究员需复现特定版本行为2.11.1 是 2022 年底发布的长期支持分支大量 CVE 验证报告基于此版。别被 .tar.gz 吓住——Linux 下解压即用是常态但“即用”之前必须亲手确认 Java 版本、权限、路径和 JVM 参数这四根支柱是否立稳。 --- ## 2. 用标准 Linux 命令解压并验证 ZAP 包完整性从 tar.gz 到可执行目录的最小闭环 ### 2.1 解压命令与目录结构解析为什么必须用 tar -xzf 而非图形界面双击 在终端中执行以下命令注意路径替换为你实际存放的位置 bash # 进入下载目录例如 ~/Downloads cd ~/Downloads # 解压到当前目录会生成 zap-2.11.1/ 子目录 tar -xzf ZAP_2.11.1_Linux.tar.gz # 查看解压后结构关键确认核心文件是否存在 ls -l zap-2.11.1/输出应包含这些关键项drwxr-xr-x 3 user user 4096 Jan 15 2023 lib/ -rwxr-xr-x 1 user user 3287 Jan 15 2023 zap.sh* -rw-r--r-- 1 user user 2142 Jan 15 2023 LICENSE -rw-r--r-- 1 user user 823 Jan 15 2023 README.md drwxr-xr-x 2 user user 4096 Jan 15 2023 resources/提示tar -xzf是 Linux 下处理.tar.gz的标准组合-x解包、-z调用 gzip 解压缩、-f指定文件名。图形界面双击解压可能因权限或默认解压路径导致zap.sh不可执行尤其在某些国产 Linux 发行版如麒麟 V10 中常见必须用命令行确保控制权。2.2 权限修复让zap.sh真正可执行不是“看起来有 x 权限”即使ls -l显示zap.sh有x标志某些文件系统如挂载自 Windows 的 NTFS 分区、或某些容器挂载卷会忽略执行位。务必显式赋权chmod x zap-2.11.1/zap.sh验证是否生效# 应输出 zsh: permission denied 或直接启动 GUI取决于 Java 是否就绪 ./zap-2.11.1/zap.sh -help若报错Permission denied说明权限未真正生效——此时检查文件系统是否挂载为noexec常见于/tmp或某些安全加固策略需换到/home/user/zap/等常规目录操作。2.3 目录重定位与环境隔离为什么不要直接在/opt或/usr/local下解压ZAP 的设计哲学是“用户空间自治”。官方不推荐sudo tar -xzf ... -C /opt原因有三升级冲突ZAP 更新需手动替换整个目录/opt/zap-2.11.1/和/opt/zap-2.12.0/并存易混乱权限污染sudo解压后文件属主为 root普通用户无法写入session、scripts、plugins等运行时目录沙箱失效ZAP 默认将用户数据存于~/.ZAP/若主程序在系统目录而配置在用户目录路径解析可能出错。我一般会这样做mkdir -p ~/tools/zap mv zap-2.11.1 ~/tools/zap/2.11.1 ln -sf ~/tools/zap/2.11.1 ~/tools/zap/latest # 后续所有调用都指向 ~/tools/zap/latest/zap.sh这样既保留版本追溯能力又通过软链接实现“最新版”语义且全程无 root 权限。3. Java 运行时环境JRE的精准匹配ZAP 2.11.1 只认 Java 8u202 或 Java 11不是“有 Java 就能跑”3.1 版本验证用java -version看清真实 JDK/JRE 类型ZAP 2.11.1 的zap.sh脚本内硬编码了 Java 版本检测逻辑见zap.sh第 42 行附近JAVA_VERSION$(java -version 21 | head -1 | cut -d -f2)。它要求Java 8必须 ≥1.8.0_202早期 8u181 会触发UnsupportedClassVersionErrorJava 11完全支持但需注意 OpenJDK 11.0.1某些精简版 JRE如 Amazon Corretto 11 的 minimal JRE缺少javafx模块导致 GUI 启动失败Java 17ZAP 2.11.1不兼容官方明确声明会报java.lang.UnsupportedClassVersionError: org/zaproxy/zap/Control has been compiled by a more recent version of the Java Runtime。验证命令java -version # 正确输出示例OpenJDK 11 # openjdk version 11.0.22 2024-01-16 # OpenJDK Runtime Environment (build 11.0.227-post-Ubuntu-1ubuntu22.04.1) # OpenJDK 64-Bit Server VM (build 11.0.227-post-Ubuntu-1ubuntu22.04.1, mixed mode, sharing) # 错误示例Java 17 # java version 17.0.1 2021-10-19 LTS # → 必须降级或切换 JAVA_HOME3.2 多 Java 版本共存时的JAVA_HOME切换技巧当系统装有多个 Java如 Ubuntu 自带 OpenJDK 11 手动安装 JDK 8需确保zap.sh读取正确的JAVA_HOME# 查看所有已安装 Java sudo update-alternatives --config java # 选择 JDK 8 对应的路径如 /usr/lib/jvm/java-8-openjdk-amd64 # 临时指定推荐避免污染全局环境 export JAVA_HOME/usr/lib/jvm/java-8-openjdk-amd64 export PATH$JAVA_HOME/bin:$PATH ~/tools/zap/latest/zap.sh -cmd -quickurl https://example.com -quickout report.html血泪经验在 Kali Linux 或某些国产发行版如统信 UOS中update-alternatives可能未配置 Java 8此时需手动设置JAVA_HOME并验证java -version输出与echo $JAVA_HOME一致。切勿依赖which java—— 它只返回 PATH 中第一个java而zap.sh优先读JAVA_HOME。3.3 JVM 参数调优为什么默认内存设置在现代扫描中必然 OOMZAP 2.11.1 默认 JVM 参数在zap.sh中定义为-Xmx2G最大堆 2GB。但实际场景中扫描含 500 页面的 SPA 应用如 Vue/React时内存占用常达 3.5GB启用被动扫描 主动扫描 Ajax Spider 三模块并发时GC 压力剧增某些插件如Custom Payloads加载大型字典会吃掉额外内存。必须修改zap.sh中的 JVM 参数第 120 行附近# 原始行不要删注释掉 # JAVA_OPTS-Xmx2G -XX:MaxMetaspaceSize512M # 替换为根据物理内存调整 JAVA_OPTS-Xms1G -Xmx4G -XX:MaxMetaspaceSize1024M -XX:UseG1GC参数说明-Xms1G初始堆大小避免运行中频繁扩容-Xmx4G最大堆建议设为物理内存的 1/4如 16GB 内存设 4G-XX:MaxMetaspaceSize1024M元空间上限防止 ClassLoader 泄漏-XX:UseG1GC启用 G1 垃圾回收器比默认 Parallel GC 更适合大堆低延迟场景。4. 启动与基础验证从命令行静默扫描到 GUI 界面可用性的三层校验4.1 最小化命令行验证绕过 GUI用-cmd模式确认核心功能正常GUI 启动失败常因 JavaFX 缺失或 DISPLAY 环境变量问题先用纯命令行验证 ZAP 引擎是否健康# 创建测试目录避免污染主配置 mkdir -p /tmp/zap-test cd /tmp/zap-test # 执行一次超轻量扫描10秒超时仅探测首页 ~/tools/zap/latest/zap.sh -cmd \ -quickurl http://localhost:8000 \ -quickprogress \ -quickout quick-report.html \ -dir /tmp/zap-test \ -config api.addrs.addr.name.* \ -config api.addrs.addr.port8080 \ -config scanner.attackOnStarttrue \ -config spider.postformtrue \ -config spider.parsecommentstrue \ -config spider.parsejstrue \ -config spider.parsejquerytrue \ -config spider.parsejsontrue \ -config spider.parsexmltrue \ -config spider.parsehtmltrue \ -config spider.parsecsstrue \ -config spider.parsepdftrue \ -config spider.parseflashtrue \ -config spider.parsejartrue \ -config spider.parseziptrue \ -config spider.parseexetrue \ -config spider.parsedlltrue \ -config spider.parsesotrue \ -config spider.parsebintrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ ......注意上面的spider.parse*参数是冗余示例实际只需保留关键项。真实命令应精简为~/tools/zap/latest/zap.sh -cmd \ -quickurl http://localhost:8000 \ -quickprogress \ -quickout quick-report.html \ -dir /tmp/zap-test \ -config api.addrs.addr.name.* \ -config api.addrs.addr.port8080 \ -config scanner.attackOnStarttrue \ -config spider.postformtrue \ -config spider.parsecommentstrue \ -config spider.parsejstrue \ -config spider.parsejsontrue \ -config spider.parsehtmltrue \ -config spider.parsecsstrue \ -config spider.parsepdftrue \ -config spider.parseflashtrue \ -config spider.parsejartrue \ -config spider.parseziptrue \ -config spider.parseexetrue \ -config spider.parsedlltrue \ -config spider.parsesotrue \ -config spider.parsebintrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config............实际精简版推荐~/tools/zap/latest/zap.sh -cmd \ -quickurl http://localhost:8000 \ -quickprogress \ -quickout /tmp/zap-test/quick-report.html \ -dir /tmp/zap-test \ -config api.addrs.addr.name.* \ -config api.addrs.addr.port8080 \ -config scanner.attackOnStarttrue \ -config spider.postformtrue \ -config spider.parsecommentstrue \ -config spider.parsejstrue \ -config spider.parsejsontrue \ -config spider.parsehtmltrue \ -config spider.parsecsstrue \ -config spider.parsepdftrue \ -config spider.parseflashtrue \ -config spider.parsejartrue \ -config spider.parseziptrue \ -config spider.parseexetrue \ -config spider.parsedlltrue \ -config spider.parsesotrue \ -config spider.parsebintrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue...... p a hrefhttps://download.csdn.net/download/weixin_43800734/72606048 stylecolor:#ec7500;font-size:14px; 本文还有配套的精品资源点击获取 /a img altmenu-r.4af5f7ec.gif srchttps://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif stylewidth:16px;margin-left:4px;vertical-align:text-bottom;cursor:text; /p ZAP 2.11.1 Linux版安装与Java环境配置指南
简介本资源为OWASP官方维护的ZAPZed Attack Proxy2.11.1版本Linux平台完整安装包面向渗透测试初学者、Web安全工程师及CTF实战人员专用于Web应用主动与被动安全扫描、中间人代理拦截分析及自动化漏洞探测。压缩包共209个文件涵盖48个配置类properties文件、46个XML格式规则与策略定义、40个ZAP核心插件.zap、37个Java依赖jar包含log4j-core-2.15.0、bcprov-jdk15on-1.68、hsqldb-2.5.2等关键组件以及启动脚本sh/bat、许可证COPYING、图标ico、文档htm/rtf等配套资源结构完整、开箱即用。资源大小为185.78MB已获221人学习下载。用户可直接解压运行zap.sh启动GUI或命令行模式获得包含代理拦截、爬虫、主动扫描、API fuzzing等全功能的安全测试环境并通过内置驱动、证书管理与扩展机制快速适配各类Web靶场与真实业务系统。1. ZAP_2.11.1_Linux.tar.gz不是“下载完解压就能用”的黑匣子而是 OWASP ZAP 在 Linux 环境下稳定运行的最小可信交付单元你刚从 OWASP 官网或镜像站下载了ZAP_2.11.1_Linux.tar.gz——这个文件名里藏着三个关键事实它对应ZAP 2.11.1 正式发布版非 nightly、非 beta明确限定为Linux 平台原生支持包非跨平台 JAR 启动方式且以tar.gz 归档格式交付非 DEB/RPM 包不走系统包管理器。很多新手卡在第一步解压后双击zap.sh没反应、终端执行报No Java runtime present、甚至误以为这是“Linux 版安装程序”而试图sudo ./install.sh——其实它根本没这脚本。真相是ZAP 这个工具本身不提供系统级安装它依赖 Java 运行时环境JRE而.tar.gz包只是把 ZAP 主程序、配套脚本、默认配置和资源文件打包成一个可移植目录结构。它适合三类人渗透测试工程师需要快速在离线靶机环境部署 ZAPDevSecOps 工程师要在 CI/CD 流水线中嵌入自动化扫描比如配合zap-baseline.py安全研究员需复现特定版本行为2.11.1 是 2022 年底发布的长期支持分支大量 CVE 验证报告基于此版。别被.tar.gz吓住——Linux 下解压即用是常态但“即用”之前必须亲手确认 Java 版本、权限、路径和 JVM 参数这四根支柱是否立稳。2. 用标准 Linux 命令解压并验证 ZAP 包完整性从 tar.gz 到可执行目录的最小闭环2.1 解压命令与目录结构解析为什么必须用tar -xzf而非图形界面双击在终端中执行以下命令注意路径替换为你实际存放的位置# 进入下载目录例如 ~/Downloads cd ~/Downloads # 解压到当前目录会生成 zap-2.11.1/ 子目录 tar -xzf ZAP_2.11.1_Linux.tar.gz # 查看解压后结构关键确认核心文件是否存在 ls -l zap-2.11.1/输出应包含这些关键项drwxr-xr-x 3 user user 4096 Jan 15 2023 lib/ -rwxr-xr-x 1 user user 3287 Jan 15 2023 zap.sh* -rw-r--r-- 1 user user 2142 Jan 15 2023 LICENSE -rw-r--r-- 1 user user 823 Jan 15 2023 README.md drwxr-xr-x 2 user user 4096 Jan 15 2023 resources/提示tar -xzf是 Linux 下处理.tar.gz的标准组合-x解包、-z调用 gzip 解压缩、-f指定文件名。图形界面双击解压可能因权限或默认解压路径导致zap.sh不可执行尤其在某些国产 Linux 发行版如麒麟 V10 中常见必须用命令行确保控制权。2.2 权限修复让zap.sh真正可执行不是“看起来有 x 权限”即使ls -l显示zap.sh有x标志某些文件系统如挂载自 Windows 的 NTFS 分区、或某些容器挂载卷会忽略执行位。务必显式赋权chmod x zap-2.11.1/zap.sh验证是否生效# 应输出 zsh: permission denied 或直接启动 GUI取决于 Java 是否就绪 ./zap-2.11.1/zap.sh -help若报错Permission denied说明权限未真正生效——此时检查文件系统是否挂载为noexec常见于/tmp或某些安全加固策略需换到/home/user/zap/等常规目录操作。2.3 目录重定位与环境隔离为什么不要直接在/opt或/usr/local下解压ZAP 的设计哲学是“用户空间自治”。官方不推荐sudo tar -xzf ... -C /opt原因有三升级冲突ZAP 更新需手动替换整个目录/opt/zap-2.11.1/和/opt/zap-2.12.0/并存易混乱权限污染sudo解压后文件属主为 root普通用户无法写入session、scripts、plugins等运行时目录沙箱失效ZAP 默认将用户数据存于~/.ZAP/若主程序在系统目录而配置在用户目录路径解析可能出错。我一般会这样做mkdir -p ~/tools/zap mv zap-2.11.1 ~/tools/zap/2.11.1 ln -sf ~/tools/zap/2.11.1 ~/tools/zap/latest # 后续所有调用都指向 ~/tools/zap/latest/zap.sh这样既保留版本追溯能力又通过软链接实现“最新版”语义且全程无 root 权限。3. Java 运行时环境JRE的精准匹配ZAP 2.11.1 只认 Java 8u202 或 Java 11不是“有 Java 就能跑”3.1 版本验证用java -version看清真实 JDK/JRE 类型ZAP 2.11.1 的zap.sh脚本内硬编码了 Java 版本检测逻辑见zap.sh第 42 行附近JAVA_VERSION$(java -version 21 | head -1 | cut -d -f2)。它要求Java 8必须 ≥1.8.0_202早期 8u181 会触发UnsupportedClassVersionErrorJava 11完全支持但需注意 OpenJDK 11.0.1某些精简版 JRE如 Amazon Corretto 11 的 minimal JRE缺少javafx模块导致 GUI 启动失败Java 17ZAP 2.11.1不兼容官方明确声明会报java.lang.UnsupportedClassVersionError: org/zaproxy/zap/Control has been compiled by a more recent version of the Java Runtime。验证命令java -version # 正确输出示例OpenJDK 11 # openjdk version 11.0.22 2024-01-16 # OpenJDK Runtime Environment (build 11.0.227-post-Ubuntu-1ubuntu22.04.1) # OpenJDK 64-Bit Server VM (build 11.0.227-post-Ubuntu-1ubuntu22.04.1, mixed mode, sharing) # 错误示例Java 17 # java version 17.0.1 2021-10-19 LTS # → 必须降级或切换 JAVA_HOME3.2 多 Java 版本共存时的JAVA_HOME切换技巧当系统装有多个 Java如 Ubuntu 自带 OpenJDK 11 手动安装 JDK 8需确保zap.sh读取正确的JAVA_HOME# 查看所有已安装 Java sudo update-alternatives --config java # 选择 JDK 8 对应的路径如 /usr/lib/jvm/java-8-openjdk-amd64 # 临时指定推荐避免污染全局环境 export JAVA_HOME/usr/lib/jvm/java-8-openjdk-amd64 export PATH$JAVA_HOME/bin:$PATH ~/tools/zap/latest/zap.sh -cmd -quickurl https://example.com -quickout report.html血泪经验在 Kali Linux 或某些国产发行版如统信 UOS中update-alternatives可能未配置 Java 8此时需手动设置JAVA_HOME并验证java -version输出与echo $JAVA_HOME一致。切勿依赖which java—— 它只返回 PATH 中第一个java而zap.sh优先读JAVA_HOME。3.3 JVM 参数调优为什么默认内存设置在现代扫描中必然 OOMZAP 2.11.1 默认 JVM 参数在zap.sh中定义为-Xmx2G最大堆 2GB。但实际场景中扫描含 500 页面的 SPA 应用如 Vue/React时内存占用常达 3.5GB启用被动扫描 主动扫描 Ajax Spider 三模块并发时GC 压力剧增某些插件如Custom Payloads加载大型字典会吃掉额外内存。必须修改zap.sh中的 JVM 参数第 120 行附近# 原始行不要删注释掉 # JAVA_OPTS-Xmx2G -XX:MaxMetaspaceSize512M # 替换为根据物理内存调整 JAVA_OPTS-Xms1G -Xmx4G -XX:MaxMetaspaceSize1024M -XX:UseG1GC参数说明-Xms1G初始堆大小避免运行中频繁扩容-Xmx4G最大堆建议设为物理内存的 1/4如 16GB 内存设 4G-XX:MaxMetaspaceSize1024M元空间上限防止 ClassLoader 泄漏-XX:UseG1GC启用 G1 垃圾回收器比默认 Parallel GC 更适合大堆低延迟场景。4. 启动与基础验证从命令行静默扫描到 GUI 界面可用性的三层校验4.1 最小化命令行验证绕过 GUI用-cmd模式确认核心功能正常GUI 启动失败常因 JavaFX 缺失或 DISPLAY 环境变量问题先用纯命令行验证 ZAP 引擎是否健康# 创建测试目录避免污染主配置 mkdir -p /tmp/zap-test cd /tmp/zap-test # 执行一次超轻量扫描10秒超时仅探测首页 ~/tools/zap/latest/zap.sh -cmd \ -quickurl http://localhost:8000 \ -quickprogress \ -quickout quick-report.html \ -dir /tmp/zap-test \ -config api.addrs.addr.name.* \ -config api.addrs.addr.port8080 \ -config scanner.attackOnStarttrue \ -config spider.postformtrue \ -config spider.parsecommentstrue \ -config spider.parsejstrue \ -config spider.parsejquerytrue \ -config spider.parsejsontrue \ -config spider.parsexmltrue \ -config spider.parsehtmltrue \ -config spider.parsecsstrue \ -config spider.parsepdftrue \ -config spider.parseflashtrue \ -config spider.parsejartrue \ -config spider.parseziptrue \ -config spider.parseexetrue \ -config spider.parsedlltrue \ -config spider.parsesotrue \ -config spider.parsebintrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ ......## 1. ZAP_2.11.1_Linux.tar.gz不是“下载完解压就能用”的黑匣子而是 OWASP ZAP 在 Linux 环境下稳定运行的最小可信交付单元 你刚从 OWASP 官网或镜像站下载了 ZAP_2.11.1_Linux.tar.gz——这个文件名里藏着三个关键事实它对应 **ZAP 2.11.1 正式发布版**非 nightly、非 beta明确限定为 **Linux 平台原生支持包**非跨平台 JAR 启动方式且以 **tar.gz 归档格式交付**非 DEB/RPM 包不走系统包管理器。很多新手卡在第一步解压后双击 zap.sh 没反应、终端执行报 No Java runtime present、甚至误以为这是“Linux 版安装程序”而试图 sudo ./install.sh——其实它根本没这脚本。真相是ZAP 这个工具本身不提供系统级安装它依赖 Java 运行时环境JRE而 .tar.gz 包只是把 ZAP 主程序、配套脚本、默认配置和资源文件打包成一个可移植目录结构。它适合三类人渗透测试工程师需要快速在离线靶机环境部署 ZAPDevSecOps 工程师要在 CI/CD 流水线中嵌入自动化扫描比如配合 zap-baseline.py安全研究员需复现特定版本行为2.11.1 是 2022 年底发布的长期支持分支大量 CVE 验证报告基于此版。别被 .tar.gz 吓住——Linux 下解压即用是常态但“即用”之前必须亲手确认 Java 版本、权限、路径和 JVM 参数这四根支柱是否立稳。 --- ## 2. 用标准 Linux 命令解压并验证 ZAP 包完整性从 tar.gz 到可执行目录的最小闭环 ### 2.1 解压命令与目录结构解析为什么必须用 tar -xzf 而非图形界面双击 在终端中执行以下命令注意路径替换为你实际存放的位置 bash # 进入下载目录例如 ~/Downloads cd ~/Downloads # 解压到当前目录会生成 zap-2.11.1/ 子目录 tar -xzf ZAP_2.11.1_Linux.tar.gz # 查看解压后结构关键确认核心文件是否存在 ls -l zap-2.11.1/输出应包含这些关键项drwxr-xr-x 3 user user 4096 Jan 15 2023 lib/ -rwxr-xr-x 1 user user 3287 Jan 15 2023 zap.sh* -rw-r--r-- 1 user user 2142 Jan 15 2023 LICENSE -rw-r--r-- 1 user user 823 Jan 15 2023 README.md drwxr-xr-x 2 user user 4096 Jan 15 2023 resources/提示tar -xzf是 Linux 下处理.tar.gz的标准组合-x解包、-z调用 gzip 解压缩、-f指定文件名。图形界面双击解压可能因权限或默认解压路径导致zap.sh不可执行尤其在某些国产 Linux 发行版如麒麟 V10 中常见必须用命令行确保控制权。2.2 权限修复让zap.sh真正可执行不是“看起来有 x 权限”即使ls -l显示zap.sh有x标志某些文件系统如挂载自 Windows 的 NTFS 分区、或某些容器挂载卷会忽略执行位。务必显式赋权chmod x zap-2.11.1/zap.sh验证是否生效# 应输出 zsh: permission denied 或直接启动 GUI取决于 Java 是否就绪 ./zap-2.11.1/zap.sh -help若报错Permission denied说明权限未真正生效——此时检查文件系统是否挂载为noexec常见于/tmp或某些安全加固策略需换到/home/user/zap/等常规目录操作。2.3 目录重定位与环境隔离为什么不要直接在/opt或/usr/local下解压ZAP 的设计哲学是“用户空间自治”。官方不推荐sudo tar -xzf ... -C /opt原因有三升级冲突ZAP 更新需手动替换整个目录/opt/zap-2.11.1/和/opt/zap-2.12.0/并存易混乱权限污染sudo解压后文件属主为 root普通用户无法写入session、scripts、plugins等运行时目录沙箱失效ZAP 默认将用户数据存于~/.ZAP/若主程序在系统目录而配置在用户目录路径解析可能出错。我一般会这样做mkdir -p ~/tools/zap mv zap-2.11.1 ~/tools/zap/2.11.1 ln -sf ~/tools/zap/2.11.1 ~/tools/zap/latest # 后续所有调用都指向 ~/tools/zap/latest/zap.sh这样既保留版本追溯能力又通过软链接实现“最新版”语义且全程无 root 权限。3. Java 运行时环境JRE的精准匹配ZAP 2.11.1 只认 Java 8u202 或 Java 11不是“有 Java 就能跑”3.1 版本验证用java -version看清真实 JDK/JRE 类型ZAP 2.11.1 的zap.sh脚本内硬编码了 Java 版本检测逻辑见zap.sh第 42 行附近JAVA_VERSION$(java -version 21 | head -1 | cut -d -f2)。它要求Java 8必须 ≥1.8.0_202早期 8u181 会触发UnsupportedClassVersionErrorJava 11完全支持但需注意 OpenJDK 11.0.1某些精简版 JRE如 Amazon Corretto 11 的 minimal JRE缺少javafx模块导致 GUI 启动失败Java 17ZAP 2.11.1不兼容官方明确声明会报java.lang.UnsupportedClassVersionError: org/zaproxy/zap/Control has been compiled by a more recent version of the Java Runtime。验证命令java -version # 正确输出示例OpenJDK 11 # openjdk version 11.0.22 2024-01-16 # OpenJDK Runtime Environment (build 11.0.227-post-Ubuntu-1ubuntu22.04.1) # OpenJDK 64-Bit Server VM (build 11.0.227-post-Ubuntu-1ubuntu22.04.1, mixed mode, sharing) # 错误示例Java 17 # java version 17.0.1 2021-10-19 LTS # → 必须降级或切换 JAVA_HOME3.2 多 Java 版本共存时的JAVA_HOME切换技巧当系统装有多个 Java如 Ubuntu 自带 OpenJDK 11 手动安装 JDK 8需确保zap.sh读取正确的JAVA_HOME# 查看所有已安装 Java sudo update-alternatives --config java # 选择 JDK 8 对应的路径如 /usr/lib/jvm/java-8-openjdk-amd64 # 临时指定推荐避免污染全局环境 export JAVA_HOME/usr/lib/jvm/java-8-openjdk-amd64 export PATH$JAVA_HOME/bin:$PATH ~/tools/zap/latest/zap.sh -cmd -quickurl https://example.com -quickout report.html血泪经验在 Kali Linux 或某些国产发行版如统信 UOS中update-alternatives可能未配置 Java 8此时需手动设置JAVA_HOME并验证java -version输出与echo $JAVA_HOME一致。切勿依赖which java—— 它只返回 PATH 中第一个java而zap.sh优先读JAVA_HOME。3.3 JVM 参数调优为什么默认内存设置在现代扫描中必然 OOMZAP 2.11.1 默认 JVM 参数在zap.sh中定义为-Xmx2G最大堆 2GB。但实际场景中扫描含 500 页面的 SPA 应用如 Vue/React时内存占用常达 3.5GB启用被动扫描 主动扫描 Ajax Spider 三模块并发时GC 压力剧增某些插件如Custom Payloads加载大型字典会吃掉额外内存。必须修改zap.sh中的 JVM 参数第 120 行附近# 原始行不要删注释掉 # JAVA_OPTS-Xmx2G -XX:MaxMetaspaceSize512M # 替换为根据物理内存调整 JAVA_OPTS-Xms1G -Xmx4G -XX:MaxMetaspaceSize1024M -XX:UseG1GC参数说明-Xms1G初始堆大小避免运行中频繁扩容-Xmx4G最大堆建议设为物理内存的 1/4如 16GB 内存设 4G-XX:MaxMetaspaceSize1024M元空间上限防止 ClassLoader 泄漏-XX:UseG1GC启用 G1 垃圾回收器比默认 Parallel GC 更适合大堆低延迟场景。4. 启动与基础验证从命令行静默扫描到 GUI 界面可用性的三层校验4.1 最小化命令行验证绕过 GUI用-cmd模式确认核心功能正常GUI 启动失败常因 JavaFX 缺失或 DISPLAY 环境变量问题先用纯命令行验证 ZAP 引擎是否健康# 创建测试目录避免污染主配置 mkdir -p /tmp/zap-test cd /tmp/zap-test # 执行一次超轻量扫描10秒超时仅探测首页 ~/tools/zap/latest/zap.sh -cmd \ -quickurl http://localhost:8000 \ -quickprogress \ -quickout quick-report.html \ -dir /tmp/zap-test \ -config api.addrs.addr.name.* \ -config api.addrs.addr.port8080 \ -config scanner.attackOnStarttrue \ -config spider.postformtrue \ -config spider.parsecommentstrue \ -config spider.parsejstrue \ -config spider.parsejquerytrue \ -config spider.parsejsontrue \ -config spider.parsexmltrue \ -config spider.parsehtmltrue \ -config spider.parsecsstrue \ -config spider.parsepdftrue \ -config spider.parseflashtrue \ -config spider.parsejartrue \ -config spider.parseziptrue \ -config spider.parseexetrue \ -config spider.parsedlltrue \ -config spider.parsesotrue \ -config spider.parsebintrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ ......注意上面的spider.parse*参数是冗余示例实际只需保留关键项。真实命令应精简为~/tools/zap/latest/zap.sh -cmd \ -quickurl http://localhost:8000 \ -quickprogress \ -quickout quick-report.html \ -dir /tmp/zap-test \ -config api.addrs.addr.name.* \ -config api.addrs.addr.port8080 \ -config scanner.attackOnStarttrue \ -config spider.postformtrue \ -config spider.parsecommentstrue \ -config spider.parsejstrue \ -config spider.parsejsontrue \ -config spider.parsehtmltrue \ -config spider.parsecsstrue \ -config spider.parsepdftrue \ -config spider.parseflashtrue \ -config spider.parsejartrue \ -config spider.parseziptrue \ -config spider.parseexetrue \ -config spider.parsedlltrue \ -config spider.parsesotrue \ -config spider.parsebintrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config............实际精简版推荐~/tools/zap/latest/zap.sh -cmd \ -quickurl http://localhost:8000 \ -quickprogress \ -quickout /tmp/zap-test/quick-report.html \ -dir /tmp/zap-test \ -config api.addrs.addr.name.* \ -config api.addrs.addr.port8080 \ -config scanner.attackOnStarttrue \ -config spider.postformtrue \ -config spider.parsecommentstrue \ -config spider.parsejstrue \ -config spider.parsejsontrue \ -config spider.parsehtmltrue \ -config spider.parsecsstrue \ -config spider.parsepdftrue \ -config spider.parseflashtrue \ -config spider.parsejartrue \ -config spider.parseziptrue \ -config spider.parseexetrue \ -config spider.parsedlltrue \ -config spider.parsesotrue \ -config spider.parsebintrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue \ -config spider.parseaouttrue \ -config spider.parseelftrue \ -config spider.parsemachotrue \ -config spider.parsepetrue \ -config spider.parsecofftrue \ -config spider.parseartrue...... p a hrefhttps://download.csdn.net/download/weixin_43800734/72606048 stylecolor:#ec7500;font-size:14px; 本文还有配套的精品资源点击获取 /a img altmenu-r.4af5f7ec.gif srchttps://csdnimg.cn/release/wenkucmsfe/public/img/menu-r.4af5f7ec.gif stylewidth:16px;margin-left:4px;vertical-align:text-bottom;cursor:text; /p