Zap報告反映在sord，sidx，nd

掃描並生成zap報告後，它報告在sord，sidx，_search和nd上反映的xss。但我想我不需要對它進行消毒。或者我必須？我正在做服務器端的衛生部分。Zap報告反映在sord，sidx，nd

我可以問一下開明的原因是什麼？任何幫助，不勝感激。

2015-06-23 elL

ZAP通過在所有字段中注入'安全'值來檢測XSS，然後發送特製攻擊，試圖擺脫安全值反映的上下文，以便執行JavaScript攻擊。它會考慮服務器端的衛生，但誤報總是可能的。

ZAP將報告它用於確定存在XSS漏洞的「證據」。你可以發佈，以及周圍的HTML？

如果你確定他們是誤報，那麼請通過ZAP問題報告他們：https://github.com/zaproxy/zaproxy/issues

乾杯，西蒙（ZAP項目負責人）

2015-06-23 13:57:00

回答