OWASP ZAP被动扫描脚本

Question

我为OWASP Zap被动扫描（将脚本置于被动规则下）使用了一个脚本（js - 遵循Nashorn JS引擎和jsoup进行解析）。现在我遇到了一个问题，当ZAP处理一个请求时，它加载了整个js文件，不仅仅是扫描函数，所以我不能使用变量作为标志来检测我之前设置的一些状态。而且，被动规则中的脚本不支持窗口对象，localstorage ...因此不能使用。

这种情况下的任何想法？

感谢，

Answer 1

您可以使用全局变量ZAP脚本之间传递值：https://github.com/zaproxy/zap-core-help/wiki/HelpAddonsScriptsScripts#global-variables

变量可以在同一个脚本的单独调用之间通过同一org.zaproxy.zap.extension.script共享。 ScriptVars类。

org.zaproxy.zap.extension.script.ScriptVars.setScriptVar(this.context, "var.name","value") 
org.zaproxy.zap.extension.script.ScriptVars.getScriptVar(this.context, "var.name") 

注意，这些方法是从脚本语言提供访问ScriptContext中（如Javascript）只能用于：例如在Javascript中，你可以按如下方式使用这个类。