Bajamos el nivel a low, ponemos el owaspzap a funcionar y con el navegador preparado para las capturas de este. Probamos con nombre de usuario "admin", que es la que nos interesa, y password "mipassword" y acto seguido vamos al zap y nos posicionamos en esa petición, boton derecho "Attack" y elegimos "Fuzz...", seleccionarmos "mipassword" y le damos a "Add", nos sale una ventana y de nuevo "Add" y ahí seleccionamos "File" en la lista desplegable, buscando el archivo con las palabras para password, que en Kali-Linux 2016 está en /usr/share/wordlists/fasttrack.txt, una vez añadido este, comenzamos el ataque "Start Fuzzer" y a esperar. Una vez concluido, vemos los marcados como reflejados, miramos las respuestas y vemos la diferencia con otra respuesta "normal" (de password incorrecto). Solo queda ver la petición de esa respuesta para observar que password se envio y ya lo tenemos.