OWASP ZAP被動掃描腳本

Question

我爲OWASP Zap被動掃描（將腳本置於被動規則下）使用了一個腳本（js - 遵循Nashorn JS引擎和jsoup進行解析）。現在我遇到了一個問題，當ZAP處理一個請求時，它加載了整個js文件，不僅僅是掃描函數，所以我不能使用變量作爲標誌來檢測我之前設置的一些狀態。而且，被動規則中的腳本不支持窗口對象，localstorage ...因此不能使用。

這種情況下的任何想法？

感謝，

Answer 1

您可以使用全局變量ZAP腳本之間傳遞值：https://github.com/zaproxy/zap-core-help/wiki/HelpAddonsScriptsScripts#global-variables

變量可以在同一個腳本的單獨調用之間通過同一org.zaproxy.zap.extension.script共享。 ScriptVars類。

org.zaproxy.zap.extension.script.ScriptVars.setScriptVar(this.context, "var.name","value") 
org.zaproxy.zap.extension.script.ScriptVars.getScriptVar(this.context, "var.name") 

注意，這些方法是從腳本語言提供訪問ScriptContext中（如Javascript）只能用於：例如在Javascript中，你可以按如下方式使用這個類。