OWASP ZAP - 如何 "prove" 误报？

Question

我们的客户要求我们 运行 针对我们的 Web 应用程序（ASP.NET 4.5.2，Webforms）使用 OWASP ZAP 工具，我们不能在报告中找到任何高优先级的发现。

我们已经完成分析，OWASP ZAP 报告了两个最有可能的漏洞 "false positives":

• 远程OS命令执行
• SQL注入

远程 OS 命令执行似乎是伪造的，因为我们没有在任何地方执行 any OS 命令 - 那么任何攻击者如何获得我们的代码在远程机器上执行他的命令？

并且 SQL 注入看起来非常虚假，因为我们正在使用 Entity Framework everywhere，它使用正确的参数化查询，即 黄金标准 反对任何SQL 注射....

其他人有过这种 "false positives" 的 OWASP ZAP 吗？是否有任何 "known issues" 文档可以用来证明 工具 是错误的 - 而不是我们的代码？

Answer 1

我不知道有任何自动扫描仪没有误报（尽管有一些营销声明；）所以我总是建议手动验证任何发现。

如果您能向我们提供更多详细信息，将会有所帮助 - ZAP 应该为您提供比漏洞名称更多的信息。一种可能是它们是定时攻击，而您的服务器由于扫描而 运行 变慢。我肯定见过很多次。在每周版本的 ZAP 中，您实际上可以增加使用的时间值（默认为 5 秒）——这有助于减少或消除此类误报。

如果您确实在 ZAP 扫描中发现误报，请通过 issues or the Dev Group 报告它们 - 如果您不告诉我们，我们就无法修复它们:)

西蒙（ZAP 项目负责人）