OWASP ZAP Fuzzing-Входной параметр отражается обратно в ответ как строка, еще XSS?

Question

оригинальный вопрос здесь: http://stackoverflow.com/questions/29223275/owasp-zap-reported-alert1-xss-vulnerability-but-no-popup-showed-up

Наш разработчик констатировала с помощью HttpUtility.JavaScriptStringEncode для кодирования строк в javascript. После того, как мы использовали OWASP ZAP для параметризации, мы все равно получили несколько (Reflected) желтых шаров в списке результатов. Нажав на элемент в желтом шаре, подсветка в ответ была, например:

DataSet.FilterBuilder.QueryValuesDictionary ['57_ctl00'] = "alert (1)";

Как вы можете видеть, атакованный код является простой строкой и не выполняется. Можем ли мы сказать, что сейчас мы в безопасности, и это всего лишь ложный позитив?

Answer 1

ZAP Fuzzer не обнаруживает уязвимости - это ручной инструмент, который поможет вам найти уязвимости. Индикация «Отраженный» - это только то, что указывает на то, что представленная полезная нагрузка отражается в ответе. Если полезная нагрузка была «A», и в ответе «A», вы получите это указание. Вам нужно взглянуть на контекст отраженной полезной нагрузки, чтобы определить, существует ли там уязвимость.

Саймон (руководитель проекта ZAP)