owasp - 比较 OWASP ZAP 中的多个 HTTP 响应

Question

我正在 portswigger 上进行身份验证实验室，这需要我比较多个 HTTP 请求并找到它们之间的细微差别，以便找到有效的用户名。但是，我不知道如何使用 OWASP ZAP 来执行此操作。有人可以帮我解决这个问题吗？谢谢!

我想做的实验室:https://portswigger.net/web-security/authentication/password-based/lab-username-enumeration-via-subtly-different-responses

我想在 ZAP 中做什么:https://youtu.be/jJ_spcnCLr8?t=111

Answer 1

当您设置 ZAP 的模糊器并设置用户名有效负载时，请转到“消息处理器”选项卡。删除“有效负载反射探测器”。添加“标签创建器”，将其设置为“提取”，将“正则表达式”设置为 warning>(Invalid.*)< 。运行模糊器。按“状态”列对结果进行排序。请注意其中一个结果略有不同。