authentication - 使用 API 调用的 ZAP 身份验证

Question

我正在使用 ZAP API 调用来使用命令行测试站点。但是即使我按照正确的步骤操作，我的用户身份验证也有问题。但是当蜘蛛作为用户时，我仍然无法通过登录页面。以下是我正在执行的步骤。

1.包含在上下文中(context/includeContext)

2.将身份验证方法更改为 formBased。 (身份验证/setAutenticationMethod) 这里我只传递 contextID、authMethodName，在 authMethodConfigParams 中只传递 logiunUrl。不是登录请求数据。我试图将 authMethodConfigParams 传递为

loginUrl=************************&loginRequestData=username={%username%}&password={%password%}

但是当我使用它时该字段没有填满。

3.设置登录Indicator(authentication/setLoggedInIndicator)

4.启用自动重认证(auth/autoReauthON)

5.添加新用户(users/nweUser)

6.为用户设置凭据(users/setAuthenticationCredentials)

7.启用用户(users/setUserEnabled)

8.Spider作为新用户(spider/scanAsUser)

但是在抓取中它无法通过登录页面。当我打开 UI 应用程序时，所有 API 调用都已运行并且所有设置都已完成已在 session 属性上配置。但是当我检查 POST 请求时，它如下所示。

username=ZAP&password=ZAP&rememberMe=true

我认为这是问题所在。为什么它不接受新用户凭据？？

提前致谢

Answer 1

我使用这个命令及其工作//

docker run --rm -v $(pwd):/zap/wrk/:rw -t owasp/zap2docker-stable zap-baseline.py -t http://example.com/ -g gen.conf -r testreport.html authMethodName : formBasedAuthentication authMethodConfigParams :loginUrl=http://example.com/admin/login/?next=/admin/&csrfmiddlewaretoken=VA3M5L1y6ieXjb1e9AqRzBdqbgY4afrL&username=admin@admin.com&password=admin&next=/admin/