イントラネットから収集したサーバー データを表示する signalR サイトを作成しました。すべてが問題なく適切に機能します。
ページにユーザー入力はありません。これは基本的にダッシュボードです。
私はグーグルで検索し、IBMのサイトを直接検索し、jabbRで尋ねました...しかし、なぜこれが起こるのかについての結果はありません. 注入に関する重要なメッセージは理解していますが、注入するユーザー入力はありません。これは SignalR の接続確立です。
何か案は？偽陽性の可能性？
IBM Security Appscan は次のように報告します。
HTTP/1.1 200 OK
Cache-Control: no-cache
Pragma: no-cache
Transfer-Encoding: chunked
Content-Type: application/json; charset=UTF-8
Expires: -1
Server: Microsoft-IIS/8.5
X-Content-Type-Options: nosniff
X-AspNet-Version: 4.0.30319
Persistent-Auth: true
X-Powered-By: ASP.NET
Date: Thu, 21 Apr 2016 20:18:46 GMT
{
"Url": "/signalr",
"ConnectionToken": "0l6V6C/DRJsZ3dOFpL+UO+hpOt5NtkBiGLREN9L5no6/hD1a6ZYTdQJRX8bWG0nJfM+4aRRHvfoeTD9b2tjEf84aX+/ANWsnBe8QKupoTkguzE2P3G3zifuEH2lDMOlr7fCiQYbBUvi20Mb4bLlngw==",
"ConnectionId": "fce58409-d505-4534-a318-01b90e333c57",
"KeepAliveTimeout": 20.0,
"DisconnectTimeout": 30.0,
"ConnectionTimeout": 110.0,
...
AppScan は、Error、True、および False の 3 つの要求を送信しました。3 つの応答はすべて互いに異なっており、MongoDB インジェクションが成功したことをほのめかしています。