ZAP (OWASP Zed Attack Proxy) 和 Burp Suite 都是Web 漏洞掃描與滲透測試工具，但它們在開發背景、功能完整度、使用體驗與授權模式上有不少差異。
| 項目 | ZAP (OWASP Zed Attack Proxy) | Burp Suite |
|---|---|---|
| 開發者 | OWASP（開源社群） | PortSwigger（商業公司） |
| 授權 | 完全免費、開源 (GPLv3) | 免費版（功能受限）／專業版（付費） |
| 主要用途 | Web應用滲透測試、漏洞掃描 | Web滲透測試、漏洞分析、自動化攻擊 |
| 定位 | 教學、研究、中小型專案 | 專業滲透測試、企業級安全測試 |
| 功能 | ZAP | Burp Suite |
|---|---|---|
| Proxy 攔截請求 | 有，支援 HTTPS 攔截 | 有，體驗更順暢、細節更多 |
| 自動掃描漏洞 | 有自動掃描（強度中等） | 專業版提供強力掃描器（準確度高） |
| Spider / 爬蟲 | 內建 Spider、AJAX Spider | 內建 Spider，可整合 Burp Crawler |
| Fuzzer（模糊測試） | 有 | 專業版有 Intruder，功能更強 |
| Repeater（重放測試） | 有 | 有，更直觀、功能更進階 |
| Collaborator（外部互動測試） | 無 | 專業版獨有，偵測 SSRF、OAST 等漏洞 |
| Extensibility（可擴充性） | 支援 Add-ons、Script engine | 支援 Burp Extender (BApp Store) |
| API 支援 | 有 REST API | 有，整合度更好 |
| UI 友善程度 | 中等，介面較舊 | 非常直覺，操作流暢 |
| 效能與速度 | 普通 | 快速、高效能 |
| 社群資源 | 開源社群多、文檔多 | 有官方培訓與商業支援 |
| 使用者類型 | 建議工具 |
|---|---|
| 學生 / 初學者 | ZAP（免費、教學友善） |
| 資安研究員 / 滲透測試員 | Burp Suite Pro（功能完整） |
| 自動化掃描整合 CI/CD | ZAP（有 API、可 script） |
| 企業資安團隊 | Burp Suite Enterprise / Pro |
ZAP：開源、免費、可客製化，適合教學或個人研究。
Burp Suite：強大、穩定、支援自動化，適合專業滲透測試與企業級使用。
ZAP 提供一鍵自動掃描功能：使用者輸入要測試的 URL 後，ZAP 的 Spider 會遍歷該網站的所有頁面。系統會將發現的潛在問題以不同嚴重度標示出來。在快速攻擊過程中，ZAP 的動作包含三個階段：
透過爬蟲抓取目標網站的所有頁面。
在抓取期間，對已獲取的頁面執行被動式掃描以偵測可能的弱點。
完成爬取後，對頁面與其參數啟動主動掃描，進行更深入的安全分析。
明天會教大家一個很zaproxy一個很特別的功能
iThome鐵人賽
看影片追技術