меня руки кривые, так как я не могу заставить zap api scan корректно работать и сканить заведомо уязвимое API приложение.
Таких нет)
Для даста можно еще пробовать nuclei и burp (правда будет платным), я слышал еще для API можно попробовать - https://blstsecurity.com/cherrybomb
Burp enterprise не умеет сканировать API. Пока что.
Ограничено умеет https://portswigger.net/burp/documentation/scanner/scanning-apis Зависит сильно от реализации Для рест фаззер https://github.com/Endava/cats Остальное в полуручном режиме, так как сканеры из того же owasp API top 10 все не покроют
Обсуждают сегодня