Iniezione SQL positiva falsa da ZAP con l'aggiunta di una nuova query con parametri

Question

Iniezione SQL positiva falsa da ZAP con l'aggiunta di una nuova query con parametri

#1 da (0 voti)

3

Ho un'applicazione web MVC primaverile e sto eseguendo la scansione attiva ZAP su di essa.

Ho notato che ZAP modificherà l'URL e aggiungerò ulteriori parametri denominati query e value query+AND+1%3D1+--+ per testare SQL Injection. E nel mio caso, solleva l'iniezione SQL HIGH MEDIUM.

L'applicazione non legge nemmeno il parametro query e quindi sono sicuro che la risposta sia sempre la stessa, con o senza questo parametro. Quindi la mia domanda è

Qual è la logica dietro la sperimentazione di SQL Injection aggiungendo un parametro che non viene letto dall'applicazione e innalzandolo come avviso SQL Injection? Potrei capire quando il valore di un parametro letto nell'applicazione è cambiato ma non questo. Questo ha generato un'iniezione SQL falsa positiva nelle applicazioni web su cui lavoro.

Questo è correlato a una domanda che ho chiesto in Stackoverflow ma non ha ancora trovato la soluzione. link

Spero di sentire qualcosa nel forum di sicurezza.

sql-injection owasp spring-framework zap false-alarm

posta Hima 17.08.2018 - 12:49

fonte

1 risposta

Leggi altre domande sui tag sql-injection owasp spring-framework zap false-alarm

Quali sono le considerazioni sulla progettazione alla base dell'esenzione dei WebSocket dal SOP? Che cos'è RTTVAR in NMap? [chiuso]

score 0 · Answer 1

ZAP segnala un attacco di iniezione SQL possibile ; non ha alcun modo di sapere che questa non è una query legittima, quindi lo contrassegna affinché tu possa esaminare e controllare manualmente. Questo è praticamente il senso di eseguirlo.

Avevo qualcosa di simile accaduto in uno dei miei progetti di primavera: contrassegnava una possibile debolezza di iniezione su un percorso che non era in uso e l'accesso a quel percorso restituiva semplicemente HTTP 404. Quel progetto aveva lo scopo di insegnarmi alcune nozioni di base scansione delle vulnerabilità, quindi l'ho appena documentato.