38、使用 OWASP ZAP 进行动态分析及 OAuth 2.0 与 OpenID Connect 基础

使用 OWASP ZAP 进行动态分析及 OAuth 2.0 与 OpenID Connect 基础

1. 动态代码分析与 OWASP ZAP 简介

动态代码分析是在代码执行过程中，通过自动化和手动流程来检查代码的一种方式。与静态代码分析不同，它需要软件在运行状态下，由人工或自动化脚本进行操作。这种分析方法通过自动生成各种输入参数，测试程序的不同执行路径，能大大提高软件测试过程的效率。

OWASP ZAP（Zed Attack Proxy）是一款开源工具，可用于对 Web 应用程序进行动态分析，帮助发现其中的安全漏洞。它作为客户端应用（如 Web 浏览器）和服务器之间的代理，分析请求和响应，以识别应用程序中的潜在漏洞。其工作模式如下：

graph LR
    A[Web 浏览器] --> B[OWASP ZAP]
    B --> C[Web 应用程序]
    C --> B
    B --> A

2. 渗透测试中的被动扫描与主动扫描

渗透测试是测试计算机系统、网络或 Web 应用程序中可能被利用的漏洞的过程。在渗透测试中，有被动扫描和主动扫描两种方式：
| 扫描方式 | 特点 | 优缺点 | 适用场景 |
| ---- | ---- | ---- | ---- |
| 被动扫描 | 仅查看响应并与已知漏洞进行比对，不修改网站数据 | 优点：对未获授权的网站使用安全；缺点：检测漏洞的几率较低，因为只查看现有流量 | 适用于无法获得授权对网站进行修改的情况 |
| 主动扫描 | 故意使用