正确删除经典中的不良字符串ASP

Proper deletion of bad character strings in classic ASP

我对我的经典 asp 应用程序执行了 OWASP-ZAP 安全测试。它返回 Format String Vulnerability.

报告称它使用 ZAP%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s 作为某些表单输入字段参数（例如 username）的攻击。

报告建议

Rewrite the background program using proper deletion of bad character strings.

这对我来说到底意味着什么？
在这种情况下是否足以在使用 request() 时替换特殊字符 - 例如在 request(username) 中替换 %？ 还是必须在客户端删除坏字符？

参考：https://www.owasp.org/index.php/Format_string_attack

可能是误报。我需要查看更多您的代码以及提供给它的触发 ZAP 警告的输入。

在客户端采取任何与安全相关的操作永远不会被信任，因为只需很少的专业知识就可以绕过客户端验证。您只剩下在服务器端执行清理，其中 functions/subs 无法增加执行清理的工作。