Code injection 操作系统远程命令注入OWASP假警报？

我正在使用OWASP进行安全扫描，该扫描通过GET方法远程注入操作系统命令来检测漏洞，因此它会向我显示如下URL

www.mysite.com/create.php?id=167%27%3Bstart-sleep+-s+15&name=11

我知道这会迫使服务器睡眠15秒，但问题是如果线程真的处于睡眠状态，网站应该将加载过程延迟约15秒，但网页会立即加载，即使我将15替换为60或120，页面仍会立即加载

此外，OWASP报告没有在证据字段中显示任何文本

有什么想法吗？ OWASP是否可能抛出错误警报？ 或者sleep命令不使线程休眠？ 为什么远程命令没有运行