owaspzap安装

OWASP ZAP 这玩意儿，安装直接去官网下就行。安装zaproxy.org，安装别走错到第三方下载站，安装那些捆绑安装包能让你多出一堆浏览器工具栏。安装我上次帮同事排查，安装他装完发现主页被改，安装折腾半天才清干净。安装

下载页面会给你几个选项。安装Windows 用户拿 .exe，安装macOS 拿 .dmg，安装Linux 用户看发行版——Debian/Ubuntu 有 apt 源，安装Fedora 有 dnf，安装Arch 直接 pacman。安装别下那个 crossplatform 的安装 zip 包，除非你清楚自己在干什么。那个包解压完还得手动配 Java 环境，新手容易卡在 “JAVA_HOME not set” 这种报错上。

Windows 安装过程没什么坑。双击 exe，一路下一步。有个地方注意：它会问你要不要装浏览器扩展，我建议先不装。等你把 ZAP 跑起来，确认代理能正常工作，再回头考虑扩展的事。安装路径别放中文目录，ZAP 对非 ASCII 路径的支持时好时坏，我见过路径里有“工具”两个字就启动失败的案例。

macOS 用户拖进 Applications 就行。第一次打开可能被 Gatekeeper 拦，去“系统设置 → 隐私与安全性”里点“仍要打开”。别关 SIP，没必要。Linux 用户如果用 apt，先加官方源再 install，别直接 apt install zaproxy——Ubuntu 仓库里那个版本旧得离谱，少一堆扫描规则。

装完第一次启动，ZAP 会问你是要持久化会话还是临时会话。选临时。刚开始用别搞复杂，临时会话每次启动都是干净状态，适合练手。持久化会话等你摸清 ZAP 的脾气再说，不然一堆历史记录混在一起，找条请求都费劲。

启动后主界面分三栏。左边是站点树，中间是请求/响应面板，右边是扫描队列。别急着点那个大红色的“自动扫描”按钮。那个按钮会直接对你的目标发起主动扫描，流量大且容易被 WAF 封 IP。正确做法是先用“手动探索”模式，让 ZAP 当代理，你手动点一遍目标站点，把请求录下来，再针对性地跑被动扫描。

代理配置是第一个门槛。ZAP 默认监听 8080 端口。浏览器里装个 FoxyProxy 或者 SwitchyOmega，把流量指到 127.0.0.1:8080。然后去 ZAP 的 Options → Dynamic SSL Certificates 里生成证书，导入浏览器信任列表。不装证书的话，HTTPS 站点全是报错，ZAP 只能看到 CONNECT 请求，看不到具体内容。这一步卡住的人最多，我见过有人折腾一下午以为 ZAP 坏了，其实就是证书没导。

Java 版本别用太新的。ZAP 2.14 配 Java 17 没问题，但 Java 21 在某些 Linux 发行版上会出现界面渲染异常。如果你启动后窗口一片空白，先降 Java 版本试试。另外内存给够，默认 512MB 跑小站点够用，扫大点的目标建议改 zap.sh 或 zap.bat 里的 -Xmx 参数，拉到 2G 以上。

装好只是开始。ZAP 的插件生态挺活跃，HUD 模式、AJAX Spider、Fuzzer 这些后面慢慢试。先保证代理通、证书对、能抓到包，这三步过了再谈扫描策略。