La interfaz real de ZAP

La ventana de ZAP

Cuando abre ZAP por primera vez, le pregunta si desea mantener la sesión; para practicar, elija no guardarla. La ventana principal se divide en tres zonas, más la barra de menús y la barra de herramientas arriba.

┌───────────────────────────────────────────────────────────┐
│ Menú: File  Edit  View  Analyse  Report  Tools  Import ... │
│ Barra: [Modo: Standard ▾]  botones de Spider, Active Scan  │
├──────────────────┬────────────────────────────────────────┤
│  ÁRBOL (Sites)   │   ESPACIO DE TRABAJO                    │
│  - Contexts      │   [Quick Start][Request][Response]      │
│  - Sites         │                                         │
│      https://... │                                         │
├──────────────────┴────────────────────────────────────────┤
│  PANEL INFERIOR                                            │
│  [History][Search][Alerts][Output][Spider][Active Scan]   │
└───────────────────────────────────────────────────────────┘

El árbol de Sites

A la izquierda está el panel Sites: un árbol con cada host que ZAP ha visto y, colgando de él, las carpetas y páginas descubiertas. Es el mapa de la aplicación. Arriba del todo aparece Contexts, donde se define el alcance (qué URLs forman parte de lo que está probando). Un ejemplo de árbol:

Sites
└── https://juice-shop.example
    ├── GET:/
    ├── GET:/rest/products/search
    ├── POST:/rest/user/login
    └── api
        └── GET:/api/Feedbacks

Clic derecho sobre cualquier nodo abre el menú de acciones: atacar, incluir en el contexto, abrir en el navegador o enviar al Requester.

El espacio de trabajo: Quick Start, Request y Response

Arriba a la derecha está el Workspace. La pestaña Quick Start es la pantalla de inicio, con dos botones grandes: Automated Scan (escaneo automatizado por una URL) y Manual Explore (abrir un navegador para explorar a mano). Al seleccionar un paquete, las pestañas Request y Response muestran la petición enviada y la respuesta recibida, con sus cabeceras y su cuerpo, tal como viajaron por el cable.

El panel inferior: History y Alerts

Abajo están las pestañas de trabajo. La más usada es History: la lista de todas las peticiones que pasaron por el proxy, en orden, una por fila. La otra clave es Alerts, el panel de hallazgos, agrupado por tipo de falla y marcado por riesgo con una bandera de color:

Alerts (12)
 ⚑ High    SQL Injection
 ⚑ Medium  Content Security Policy Header Not Set
 ⚑ Low     Cookie Without Secure Flag
 ⓘ Info    Modern Web Application

Rojo es riesgo alto (High), naranja medio (Medium), amarillo bajo (Low) y azul informativo (Informational). Cada alerta trae además un nivel de confianza y, al abrirla, la petición que la disparó y una descripción con la solución recomendada. En las pestañas Spider y Active Scan verá el progreso de esos dos procesos, que conocerá en la lección de escaneo.