OWASP Zap を使用した侵入テストでは、多くのパス トラバーサルの「脆弱性」が見つかりましたが、レポートがすべてを語っていないか、完全に安全に見えます。例えば：
URL: http://[xxxx]/News/GetContactsList/2
Parameter: Id
Attack: 2
「2」は呼び出しエンティティの ID であるため、システムで必要になります。同じ種類のものは明らかに多くの場所で使用されていますが、Zap が不満を言うのはこれだけです。通常、2 を別の整数に置き換えるか、別のパラメーター「PressContacts」に完全に有効な文字列を渡すことによって、いくつかの例を見つけます。
MVC では、これらは int と int のリストにバインドされているため、私が知る限りサニタイズされています。
問題が何であるかを正確に知るにはどうすればよいですか、または Zap に間違ったツリーを鳴らしていることを伝えるにはどうすればよいですか? GET と POST に応答するさまざまな MVC アクションがあり、レポートではどちらにヒットしているかが明確ではありません。
本当に明らかな何かが欠けている場合は、事前にお詫び申し上げます。Zap を使用するのはこれが初めてなので、何かを完全に誤解している可能性があります。