owasp

0熱

1答えて

手動要求エディタを使用して1つのURLをスキャンできます。どのようにURLリスト（CSVファイルやテキストファイルのリストURLなど）に使用できますか？

0熱

1答えて

は、誰かが私を理解する助けてもらえ修正 https://github.com/aramrami/OWASP-CSRFGuard/commit/a494d4d7d7e9814fa0feaabf81f8264d10165ffb そのコミットで唯一のヒントは、トークンが現在使用して除去し、フェッチされた」であります解決する別のPOSTリクエスト、トークンハイジャック問題。この変更がトークンのハイジャッ

0熱

1答えて

owasp-modsecurity-crsが要求を検出したが拒否していない

Nginx 1.10.3をModSecurityとowasp-modsecurity-crsでビルドし、カールでテストしました。 nginxログからはすでにルールで検出されているので動作しますが、クライアントは403のような拒否レスポンスではなく、http応答の成功を得ます。助けてもらえますか？追加の設定が必要ですか？ [[email protected] ~]$ curl -H "User

1熱

1答えて

これらのファイルはowasp zap 2.6に含まれていますか：nc.exe、cmd.war、cmd.aspx

OWASP ZAP 2.6をアップデートしていて、ウェブルートでこれらのファイルが同時に検出されました：cmd.war、nc.exeおよびcmd.aspxが脅威です。これらはzapによって使用されていますか、またはシステムに対する実際の脅威ですか？現在は隔離されています。私はそれらを消去する前に知る必要があります。ありがとう。

0熱

1答えて

OWASP ZAPが履歴ビューで画像へのリクエストを表示しない

Webアプリケーションで、何かが存在してはいけないリクエストを生成しているときに、私はいくつかの奇妙な動作を調べています。これらの要求を引き起こす主なアクションは新しいブラウザウィンドウを開くので、ブラウザの内蔵ネットワークデバッグ機能は役立ちません。私は、今のところ、生の要求を見てみたいと思います。そこで、OWASP ZAPをインストールしてローカルプロキシとして使用しました。私の驚いたことに

0熱

1答えて

ZAPフォームベースの認証はユーザー名のパスワードを置き換えません

ガイドラインのようにZAPを設定すると、https://github.com/zaproxy/zap-core-help/wiki/HelpStartConceptsAuthentication ユーザーのコンテキスト設定で定義されたユーザー名とパスワードに置き換えられません。これはなぜ起こりますか？これはhttps://github.com/zaproxy/zaproxy/issues/20

0熱

2答えて

owasp zapで同時に2つのサイトを実行する方法

私はowasp zapでajax spider攻撃を実行しようとしています。 firefoxでプロキシサーバーを設定して記録しています。しかし、私は2つのサイトを持って、1つの通常のページと別のAPI要求です。現在、通常のページでajax spiderを実行すると、ホームページのみが表示されますが、ログインアクションはサイト2に記録されているため実行されません。どのサイトを同時に使用することができ

1熱

3答えて

OWASP ZAP X-Frame-Optionsと存在しないhtmlファイルで偽陽性である

OWASP ZAPを使用してアプリケーションの脆弱性をテストしています。私はログインページのURLでクイックスタート攻撃を使用しています。 EclipseからTomcatでアプリケーションを実行しています。現在2つの問題があります。はZAPは、私が削除されたHTMLページを検索します。プロジェクトのどこにも存在しませんが、ZAPはアラートを生成します。それは最初の実行の時に存在しました。 Z

0熱

1答えて

なぜブラックリスト信頼アプローチではなく、OWASPがHTMLをホワイトリストに登録するのですか？

私はJSoupを見て、OWASP Java HTML sanitizer projectよ悪い用語を更新しました。 API層に渡されたユーザー入力を消毒してXSS攻撃を防止する目的で、私はこのようなツールに興味があります。 OWASPプロジェクトによれば、「AntiSamyのユニットテストに95 +％以上のテストを加えただけです。しかし、私はこれらのテストを自分で見ることはできません。これら

0熱

1答えて

ServiceStackメタデータページのリンクをエンコードする必要がありますか？

私たちが使用するスキャナーツールはセキュリティの問題を報告しています。応答をGET /metadataからServiceStack.Metadata.IndexOperationsControl.Render()の範囲内で監視し、検証またはエンコードなしで応答を報告しました。具体的には、URLについて不平を言う。それは心配しているスニペットです： <h3>Plugin Links:</h3><ul