OWASP ZAP

Zed Attack Proxy

🌐 OWASP ZAP क्या है?

OWASP ZAP (Zed Attack Proxy) एक free और open-source web application security scanner है। यह Burp Suite का powerful alternative है और OWASP की official tool है। इसका काम web apps में vulnerabilities automatically find करना है।

👉 Professional web security testing के लिए यह सबसे popular free tool है।

🔍 OWASP ZAP क्या-क्या कर सकता है

Spider

Website automatically crawl करना

Active Scanner

Attacks send करके vulnerabilities ढूंढना

Passive Scanner

Traffic analysis से issues find करना

Fuzzer

Fuzzing attacks करना

API Testing

REST/GraphQL APIs test करना

Reports

Detailed security reports generate करना

⚙️ Kali NetHunter / Termux में OWASP ZAP install

aptInstallation Commands

System Update

apt update

Install OWASP ZAP

apt install zaproxy

Start ZAP

zap.sh

👉 ZAP 100% free और open-source है, कोई license नहीं चाहिए।

💻 Basic Commands (CLI Mode)

👉 ZAP को command line से use कर सकते हो:

Quick Scan

zap-cli quick-scan --self-contained --start-options '-config api.disablekey=true' http://example.com

Spider only (crawl)

zap-cli spider http://example.com

Active Scan

zap-cli active-scan -r http://example.com

Generate Report

zap-cli report -o report.html -f html

🌐 Real Example: Automated Scan

Example🎯 Complete Scan Workflow

Step 1: Start ZAP in daemon mode

zap.sh -daemon -port 8080

Step 2: Access target via proxy

curl -x http://127.0.0.1:8080 http://example.com

Step 3: Spider the site

zap-cli spider http://example.com

Step 4: Active Scan

zap-cli active-scan -r http://example.com

Step 5: Generate HTML Report

zap-cli report -o security-report.html -f html

👉 यह complete automated workflow है → Spider → Scan → Report

📊 Output समझो

👉 ZAP में vulnerabilities different levels में divide होते हैं:

High

Critical Issues

SQL Injection, XSS (Stored)

Medium

Medium Issues

Missing headers, XSS (Reflected)

Low

Minor Issues

Cookie flags, Info disclosure

👉 Report में हर issue के साथ description, solution और reference भी होता है → Fix करना आसान

⚠️ Important Warning

बिना permission किसी भी website को scan करना illegal है

Practice के लिए use करो:

  • OWASP Juice Shop (vulnerable app)
  • DVWA (Damn Vulnerable Web App)
  • अपना local development environment

🧩 Related Tools

Burp Suite

Commercial web security tool

SQLmap

SQL injection specialization

💡 Simple समझ

OWASP ZAP = "Burp Suite का Free Version"

बिल्कुल Burp Suite जैसा tool, लेकिन 100% free और open-source। Professional level web security testing के लिए best option।