Задача активного сканирования zap прервана задачей сохранения сеанса

Я пытаюсь автоматизировать задачи zap в моем процессе сборки. Вот что я делаю:

  • беги зап
  • запустить тесты селена
  • беги зап паук
  • запустить Zap ActiveScan
  • сохранить ZAP-сессию
  • запустить проверку предупреждений zap и сообщить об этом
  • конец зап

А вот цель моего ant build.xml:

    <SpiderURL zapAddress="${zapaddr}" zapPort="${zapport}" url="${targetHost}" debug="true"/>
    <sleep seconds="5"/>        
    <ActiveScanSite zapAddress="${zapaddr}" zapPort="${zapport}" url="${targetHost}" debug="true"/>
    <sleep seconds="5"/>        

    <tstamp>
        <format property="timestamp" pattern="MM-dd-yyyy HH-mm-ss"/>
    </tstamp>

    <SaveZAPSession zapAddress="${zapaddr}" zapPort="${zapport}" name="${user.dir}/test ${timestamp}" debug="true"/>    

    <record name="Report.txt" action="start" append="true" />
    <alertCheckTask zapAddress="${zapaddr}" zapPort="${zapport}" debug="false">
        <ignoreAlert risk="Low" />
        <ignoreAlert risk="Medium" />
        <requirealert alert="Cross Site Scripting (Reflected)" />
    </alertCheckTask>
    <record name="Report.txt" action="stop" />

Проблема в том, что активное сканирование не завершено и прерывается следующей задачей (сохранение сеанса zap), что означает, что сообщаемые предупреждения также не охватывают все результаты активного сканирования.


selenium owasp ant zapproxy
person amine al    schedule 03.05.2017    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Сначала сохраните сеанс, прежде чем делать что-либо еще. Сеанс ZAP представляет собой базу данных, и после его сохранения (или, скорее, «сохранения», как теперь он упоминается в пользовательском интерфейсе), любые изменения также сохраняются автоматически. Если вы сохраните/сохраните сеанс ZAP позже, вы фактически просто скопируете временную базу данных в новую, что очень неэффективно. Вот почему мы предлагаем вам сохранить сеанс при открытии пользовательского интерфейса ZAP.

Сказав все это, я бы рекомендовал напрямую использовать клиентскую библиотеку ZAP Java, поскольку она обеспечивает гораздо больший контроль над ZAP. Задачи Ant довольно ограничены. Мы действительно не обновляли их, отчасти потому, что не знали, использует ли их кто-нибудь! Если вы все еще планируете их использовать, дайте мне знать - я подозреваю, что они могут нуждаться в некоторой настройке :)

person Simon Bennetts    schedule 03.05.2017