大家好！我目前正在就讀資訊類科系，平常以接觸程式撰寫居多，對於資安領域的技術沒有太多了解
因此希望藉由這30天的機會，以OWASP ZAP作為主要工具，從實際操作和分析，從環境架設、基本掃描到進階弱點發掘，一步步建立資安思維。
我將學習如何利用ZAP自動化及主動/被動掃描常見的資安漏洞，並理解其背後的原理，以及該如何修復，例如SQL Injection、XSS等，讓我從「資安小白」進化成具備基本滲透測試技能的「資安入門者」。
| 功能/特點 | OWASP ZAP(免費) | Burp Suite Community(免費) |
|---|---|---|
| 授權與價格 | 開源免費 | 免費但功能受限 |
| 自動化掃描器(Scanner) | 內建主動與被動掃描器，可擴充模組 | 不包含，無內建自動化掃描功能 |
| Proxy | 支援完整 HTTP/HTTPS 攔截、修改與重放 | 基本攔截功能，速度較慢 |
| Repeater | 需要其他功能來模擬此過程 | 部分功能受限 |
| Intruder | 完整 (但可能不如 Burp Pro 精細) | 嚴重降速 (不適合大規模攻擊或 Fuzzing) |
| Sequencer | 不具備 | 具Sequencer模塊用於分析Session Token的隨機性 |
| Decoder/Comparer | 功能相對基礎或需外掛 | 自身有獨立的Decoder/Comparer，功能強大且直覺 |
| Fuzzer模糊測試 | 可使用內建字典或自訂字典模糊測試 | 依賴Intruder模組(限速版，僅單執行緒) |
| 報告產生 | 可輸出 HTML、XML、JSON等格式 | 僅能手動匯出部分結果 |
| 外掛擴充 | 支援 (開放Marketplace，可安裝模組 (例如：不支援自動化整合ActiveScan++, WebSocket Tester等) | 支援部分擴充功能 |
| API 支援 | REST API，可整合自動化測試 | 無API支援 |
| CI/CD整合 | 完全支援CLI+API自動化，例如Jenkins、GitHub Actions) | 不支援自動化整合 |
| 優點 (Pros) | 缺點 (Cons) |
|---|---|
| 完全免費與開源，零預算門檻，適合個人、學生、小型團隊使用 | 使用者介面 較不直觀 |
| 社群支援活躍，不斷有新功能和外掛發布 | 某些進階的手動測試工具(如 Sequencer)功能較弱或缺失 |
| 可用腳本擴充自動化攻擊流程 | 載入大量Session檔案時，可能會佔用較多記憶體和資源 |
| 對於初學者或只需要基礎掃描功能的開發人員更友好 | 自動掃描可能產生較高的誤報率 |
| 優點 (Pros) | 缺點 (Cons) |
|---|---|
| Proxy、Repeater等核心工具功能強大且穩定，非常適合手動測試 | 無法執行自動化漏洞掃描 |
| 使用者介面設計簡潔、直覺且操作流暢 | ，Intruder模組被嚴重降速，功能受限，無法進行有效的爆破或Fuzzing |
| 可與Chrome、Firefox Proxy輕鬆整合 | 閉源：工具的程式碼不公開，雖然穩定，但無法自行審查或修改底層邏輯 |
| 優點 (Pros) | 缺點 (Cons) |
|---|---|
| 功能強大且完善，集成了業界領先的自動化掃描和深度手動測試工具。 | 高昂的價格：Pro 版本需要每年付費(約每年USD 449起) |
| 其漏洞掃描器在查找複雜或新型漏洞方面準確性高 | 雖然基本操作簡單，但若想要充分利用所有進階功能，需要一定程度的經驗和專業知識。 |
| 可自訂Payload、Session、Macro | 免費的 Community版本功能被嚴重受限，例如沒有掃描器、Intruder速度降低 |
| 提供精美、高度客製化的專業安全報告 | 儘管自動化功能強大，但核心設計仍以高效的手動滲透測試為主 |
| 使用需求 | 建議工具 | 原因 |
|---|---|---|
| 學習網站安全與滲透測試入門 | OWASP ZAP | 免費開源、文件齊全、自動化友善 |
| 學術研究或自動化測試整合 | OWASP ZAP | API + CLI 支援佳，可整合 CI/CD |
| 手動測試與快速驗證漏洞 | Burp Suite Community | 介面簡單、容易操作 |
| 專業滲透測試與報告產出 | Burp Suite Professional | 精準掃描、報告完善、速度快 |
iThome鐵人賽
看影片追技術