OWASP ZAP クイックスタート

OWASP ZAP のクイックスタートを使用してみたので備忘録。

実施したサイトの構成は以下。

結果は以下。
処理的には、Spider でクロールが入り、それに対して Scan する感じ。
今回は login がトップにあったため、クロールがまったくできてなかった。

指定したアドレス以外取れていないのが証拠。
そして、検査結果。

login には特に何も仕込んでいなかったため、設定周りの指摘のみ検出。
ほぼ予想通りの結果。

ただ、このクイックスタートについては、どういうユーザーを想定して設定しているのか謎。
今回の結果でもわかる通り、login が存在した時点で有効な診断はできない。
login が存在しないサイトであればそれなりに結果はでると思うが、その辺りの注意喚起もなし。
一応指定したドメイン以外は遷移しない使用になっているが、パスでサイトが分かれている場合は Spider が普通に走る。
その辺り、まったく注意喚起がないのもどうかと。

使ってみた感じ、逆にないほうがいいようにも思われた。