Agent Skills
返回列表
🔒

OWASP ZAP 扫描编排器

IT 运维与安全 更新于 2026.08.29

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，安装 @user_3c6cb52e/owasp-zap-scan-orchestrator。

技能介绍

解决的问题

在Web应用安全测试中，手动配置OWASP ZAP进行主动扫描或被动监听往往需要重复操作：手动启动ZAP代理、编写脚本驱动扫描、处理不同站点的登录流程，最后还要手动整理漏洞报告。这种碎片化流程导致安全测试难以集成到CI/CD流水线，且团队间报告格式不统一。

工作原理

该技能通过ZAP API实现全流程自动化，核心能力包括：

  • 双模式扫描：支持主动扫描（主动探测漏洞）与被动扫描（监听流量被动分析）两种模式，通过zap.activeScan()和zap.passiveScan()接口调用
  • 智能爬取：集成传统蜘蛛爬取与基于Selenium的AJAX爬取，可处理SPA应用的动态内容加载
  • 报告标准化：自动生成符合SARIF（Security Artifact Interchange Format）标准的漏洞报告，支持与GitHub Advanced Security等工具链集成

关键执行步骤：

  1. 初始化ZAP会话并配置扫描参数（如线程数、扫描策略）
  2. 通过API触发主动/被动扫描任务
  3. 使用Selenium驱动浏览器执行AJAX蜘蛛爬取
  4. 收集扫描结果并转换为SARIF格式输出

适用边界与注意点

该技能适用于已部署ZAP实例且需要自动化扫描的场景，但需注意：

  • 主动扫描可能触发目标站点的WAF规则，建议在测试环境使用
  • Selenium集成需要正确配置浏览器驱动（如ChromeDriver）
  • 大规模扫描时需监控ZAP实例的内存使用，避免资源耗尽
  • SARIF报告仅包含标准漏洞类型，自定义检测规则需额外扩展

使用场景

  • 在CI/CD流水线中集成ZAP扫描，自动触发主动扫描并生成SARIF报告，实现漏洞检测的持续集成
  • 安全团队需要批量扫描多个Web应用，通过API统一调度主动/被动扫描任务，避免手动配置ZAP实例
  • 开发团队在代码提交后触发AJAX蜘蛛爬取，自动发现SPA应用中的动态加载漏洞，并生成标准化报告
  • 在渗透测试前期准备阶段，自动化执行ZAP主动扫描快速收集目标站点的基础漏洞信息，生成SARIF报告供后续分析

适合人员

  • DevSecOps工程师，需要将安全扫描集成到现有CI/CD流程，实现自动化漏洞检测与报告生成
  • Web应用安全测试人员，负责批量扫描多个项目并生成标准化漏洞报告，避免手动配置ZAP实例
  • 全栈开发者，在开发SPA应用时需要自动化检测动态加载内容中的安全漏洞，并集成到开发工作流
  • 渗透测试工程师，在前期信息收集阶段需要快速获取目标站点的基础漏洞数据，生成可分析的SARIF格式报告