Debian环境下ZAP API扫描出现Read timed out超时错误如何排查

ZAP扫描超时问题排查手段 #

• 先验证基础链路与参数解析正确性
  首先确认URL参数没有被Debian shell截断：直接在宿主机执行curl -v "http://10.170.170.170:1700/account?field4=448808888888&field7=GENERIC01&field10=DCF43"，确认接口可正常响应。再测试容器内部的网络连通性：docker run --rm -it owasp/zap2docker-weekly curl -v "http://10.170.170.170:1700/account?field4=448808888888&field7=GENERIC01&field10=DCF43"，排除Docker网桥、宿主机防火墙、路由规则导致的网络不通问题。
  注意你当前命令的URL没有用全引号包裹，仅单独转义了&，可改为-t "http://10.170.170.170:1700/account?field4=448808888888&field7=GENERIC01&field10=DCF43"避免shell解析异常。另外-r ~/serverkeys/ZAP_REPORT.htm路径配置错误：Docker容器内部无法识别宿主机的家目录，报告要输出到挂载的/zap/wrk目录下，对应宿主机的当前工作目录，扫描完成后再手动移动到目标路径即可。
• 调整ZAP超时阈值
  原命令未配置超时参数，添加-z "-config connection.timeoutInSecs=60"延长读取超时时间，避免接口响应慢被ZAP主动中断，参考命令：

  docker run -v "$(pwd):/zap/wrk/:rw" -t owasp/zap2docker-weekly zap-api-scan.py -t "http://10.170.170.170:1700/account?field4=448808888888&field7=GENERIC01&field10=DCF43" -f openapi -z "-config connection.timeoutInSecs=60" -r ZAP_Report.htm
  

• 开启调试日志定位触发逻辑
  命令添加-d参数开启调试模式，同时把全量日志输出到本地文件：

  docker run -v "$(pwd):/zap/wrk/:rw" -t owasp/zap2docker-weekly zap-api-scan.py -d -t "http://10.170.170.170:1700/account?field4=448808888888&field7=GENERIC01&field10=DCF43" -f openapi -r ZAP_Report.htm 2>&1 | tee zap_debug.log
  

  日志中出现/etc/passwd是命令注入扫描规则的常规测试payload，重点查看CommandInjectionScanRule触发时发送的payload内容，确认该payload是否触发了目标接口的安全拦截、业务逻辑死锁等问题导致无响应。
• 抓包确认流量交互完整度
  宿主机执行tcpdump -i any host 10.170.170.170 and port 1700 -w zap_traffic.pcap，后台运行的同时启动扫描命令，扫描结束后停止tcpdump，用Wireshark打开pcap文件查看完整的TCP、HTTP交互流程，确认是否存在链路丢包、服务端reset连接、响应不完整等问题。
• 隔离问题规则验证
  临时禁用命令注入扫描规则（规则ID为40012），添加-x 40012参数运行扫描，如果禁用后扫描正常完成，即可确认是该规则的测试payload触发了目标接口异常，后续可单独针对该规则的payload做兼容性测试。

内容的提问来源于stack exchange，提问作者Golide