Пробовал и то, и другое, так что сразу скажу — для начала оба пашут нормально, но с разницей. Burp Suite часто считают эталоном, да и интерфейс сделан понятнее для большинства, плюс куча плагинов и поддержка от сообщества. Минус — в бесплатной версии доступен ограниченный функционал, особенно для автоматизации. OWASP ZAP полностью бесплатный и открытый, правда, по удобству он чуть сложнее для первых шагов, особенно если не шаришь в настройках. Но зато там можно поковыряться в скриптах и автоматизации без ограничений.

Если хочешь именно покопаться в ручном анализе — Burp проще взять и сразу в бой, если готов играться с настройками и не боишься погружаться, ZAP даёт больше контроля и свободы, правда придется чуть больше копать, чтоб врубиться.

Мой совет — если хочешь быстро и без заморочек — Burp Suite Community Edition. Если любишь ковыряться и вникать, плюс нужно полностью бесплатно — ZAP.

Есть у кого опыт, что удобнее именно для домашних лабораторных тестов?