OWASP ZAP - 가양 성을 "증명"하는 방법은 무엇입니까?

고객은 우리 웹 응용 프로그램 (ASP.NET 4.5.2, Webforms)에 대해 OWASP ZAP 도구를 실행해야하며 보고서에서 우선 순위가 높은 결과를 얻을 수는 없습니다.OWASP ZAP - 가양 성을 "증명"하는 방법은 무엇입니까?

우리는 분석을 수행했으며, OWASP ZAP은 모두 "잘못된 반응"가능성이 가장 높은 두 가지 취약점보고 :

원격 OS 명령을 실행
SQL 주입

원격을 우리는 OS 명령을 어디서나 실행하지 않기 때문에 OS 명령 실행이 가짜 인 것 같습니다. 그러면 공격자가 원격 시스템에서 명령을 실행하는 코드를 어떻게 얻을 수 있습니까?

우리가 제대로 모든 SQL 주입에 대한 금 표준있는 쿼리를 매개 변수화 사용합니다 사방 엔티티 프레임 워크 을 사용하고 있기 때문에 SQL 주입이 매우 가짜 보인다 ....

다른 사람이 있었나요 OWASP ZAP의 "오 탐지" 도구이 우리 코드가 아니라는 것을 증명하기 위해 사용할 수있는 "알려진 문제"가 있습니까?

출처

2016-11-20 marc_s

을 EF를 사용하더라도 임의의 쿼리를 실행하고 결과를 구체화 할 수 있습니다. 그리 오래 전에 필자는 검사 된 앱 중 하나에서 그러한 문제를 발견했습니다. zap이 자신의 코드에서 가지고 있다고 믿지 않는 것을 발견하지 못했는지 확인하십시오. –

@WiktorZychla : 네 말이 맞아.하지만 우리는 EF 코드에 "임의의 SQL"을 가지고 있지 않다. 그건 절대적으로 확실하다. –

나는 클라이언트에게 코드를 검토했다는 것을 알려주고 사용자 지정 SQL 코드없이 EF를 사용하므로 SQLi에 취약하지 않으므로 충분하다고 생각합니다. 주장하는 경우 소스 코드의 일부를 표시 할 수 있지만 위의 내용을 서면으로 제공하면 필요하지 않습니다. OS 명령 주입은 아마도 더 흥미로울 것입니다. 가능한 미묘한 방법이있을 수 있지만, ZAP은 때로는 오탐 (false positive)을 많이 생성하기 때문에 너무 쉽게 될 수 있습니다. –

일부 마케팅 클레임에도 불구하고 가양 성이없는 자동화 된 스캐너는 알지 못하므로 필자는 수작업으로 수동으로 확인하는 것이 좋습니다.

ZAP은 취약점 이름 이외에도 많은 정보를 제공해야합니다. 한 가지 가능성은 타이밍 공격이며 스캔으로 인해 서버가 느리게 실행되고 있다는 것입니다. 나는 여러 번 확실히 보았습니다. ZAP의 주간 버전에서는 사용 된 타이밍 값을 실제로 증가시킬 수 있습니다 (기본값은 5 초). 이러한 오탐을 줄이거 나 제거 할 수 있습니다.

당신은 ZAP 스캔 후 issues를 통해 그들을보고 또는 Dev Group하십시오에서 오탐 (false positive) 발견 할 경우 - 당신이 다음 그들에 대해 우리에게 해달라고하면 우리가 문제를 해결하지 못할 :)

사이먼 (ZAP 프로젝트 리더)

출처

2016-11-21 16:49:12

Zap과 같은 소리는 가양 성으로 가득합니다. 저는 안티 MIME 킁킁 및 XSS 보호 기능을 지정했으며, 두 헤더가 적절한 헤더를 통해 처리되었지만 Zap은 여전히 동일한 취약점을 보여주고 있음을 알고 있습니다. 응답에는 명백하게'X-Content-Type-Options = nosniff'와'X-XSS-Protection = 1; mode = block'이지만 Zap은 여전히 다른 것을 찾고 있습니다. 신뢰성있는 것으로 간주되기 전에 약간의 개선이 필요하다고 생각됩니다. – ajeh

문제가 무엇인지 알려주세요. 의견없이 개선 할 수는 없습니다. 그리고 당신이 무언가를 놓치고 있다는 가능성이 있습니다. 그래서 우리와 접촉 할만한 가치가 있습니다. (위와 같이 문제 나 Dev 그룹을 통해) 우리는 그들을 볼 수 있습니다. –

위의 내용을 모두 읽으십시오. 나는 다른 버그 추적기에 등록하지 않을 것이다. – ajeh

OWASP ZAP - 가양 성을 "증명"하는 방법은 무엇입니까?

답변

관련 문제