使用ZAP对网站进行渗透测试流程如下：
ZAP启动浏览器
输入URL，点击启动浏览器，在打开的浏览器登录要扫描的网站
在打开的浏览器上进行需要测试的流程操作。
ZAP会记录操作过程中的HTTP请求。
spider爬虫
点击Spider Start按钮，爬取静态地址，防止有遗漏。
使用 ZAP 的 Spider 功能进行扫描时，默认情况下会扫描当前页并自动探测整个网站，并构建一个全面的页面列表。然后，ZAP 将使用这个页面列表来进行更全面的安全扫描。因此，ZAP 的 Spider 扫描将涵盖整个网站的所有页，而不仅仅是当前页。这样可以帮助你发现整个网站中的潜在漏洞。
也可以直接在ZAP界面，选择spider，新建扫描
扫描二维码关注公众号，回复：
16432823 查看本文章
Ajax Spider
点击Ajax Spider Start按钮，爬取ajax地址，防止有遗漏
主动扫描
方法一：
点击Active Scan Start，开始使用默认配置对前三步记录的地址进行扫描（页面操作有时候不会开始扫描，可以用方法二或三）。
方法二：
在ZAP界面，在需要攻击的网站上右键->攻击->主动扫描。
方法三：
选中主动扫描，新建扫描
主动扫描会比较慢，可以点击查看扫描进度。
ZAP基于这些规则，对页面操作时记录的HTTP请求进行攻击，检查是否存在对应问题。
查看警报
导出测试报告
报告->生成报告，在下方选择站点，点击生成报告。
