Javascript OWASP ZAP Fuzzing-输入参数作为字符串反射回响应，仍然是XSS？_Javascript_Xss_Fuzzy Search_Owasp_Zap

Javascript OWASP ZAP Fuzzing-输入参数作为字符串反射回响应，仍然是XSS？

javascript

Javascript OWASP ZAP Fuzzing-输入参数作为字符串反射回响应，仍然是XSS？,javascript,xss,fuzzy-search,owasp,zap,Javascript,Xss,Fuzzy Search,Owasp,Zap,原版在这里： http://stackoverflow.com/questions/29223275/owasp-zap-reported-alert1-xss-vulnerability-but-no-popup-showed-up 我们的开发人员通过使用HttpUtility.JavaScriptStringEncode对javascript中的字符串进行编码解决了这个问题。在使用OWASP ZAP模糊参数后，结果列表中仍然有几个反射的黄色球。单击黄色球中的项目，响应中的突出显示为，例如：

原版在这里： http://stackoverflow.com/questions/29223275/owasp-zap-reported-alert1-xss-vulnerability-but-no-popup-showed-up

我们的开发人员通过使用HttpUtility.JavaScriptStringEncode对javascript中的字符串进行编码解决了这个问题。在使用OWASP ZAP模糊参数后，结果列表中仍然有几个反射的黄色球。单击黄色球中的项目，响应中的突出显示为，例如：

DataSet.FilterBuilder.QueryValuesDictionary['57_ctl00']=alert1

如您所见，受攻击的代码只是一个简单的字符串，无法执行。我们可以说我们现在安全了，这只是一个假阳性吗

ZAP Fuzzer不会检测漏洞-它是一个手动工具，可帮助您发现漏洞。反映的指示就是——提交的有效负载反映在响应中的指示。如果有效载荷是A，并且响应中有A，那么您将得到该指示。您需要查看反射负载的上下文，以确定是否存在漏洞

Simon ZAP项目负责人