owasp 相关问题

Open Web Application Security Project（OWASP）是一个想要告知人们应用程序安全性的组织。网站http://owasp.org。

排除某些特定 URL 的 CRS 规则

我是 OWASP ModSecurity 的新手，我想知道如何排除某些 URL 的某些特定规则。我搜索过并发现我应该将它们排除在 modsecurity.conf 文件中......

security owasp mod-security waf

回答 1 投票 0

使用参数__ID__可以进行SQL注入

我正在使用 ZAP 对 Nextjs 14 Web 应用程序执行扫描，但遇到了以下安全问题：场地细节风险等级高的漏洞 SQL注入-SQLite 描述 SQL注入...

next.js sql-injection owasp zap

回答 1 投票 0

如何缓解 ASP.NET Web 窗体应用程序中 Captcha.aspx 的 HTTP 参数污染漏洞

我们最近使用 Tenable Web 应用程序扫描工具扫描了我们的 Web 应用程序，该工具检测到一个名为 HTTP 参数污染的中型漏洞该漏洞检测到特定的

c# asp.net captcha owasp

回答 1 投票 0

Struts 2 中的会话劫持预防

我正在开发一个Java应用程序，该应用程序似乎存在会话劫持漏洞。为了防止这种情况，建议在登录后更改用户的 JSESSIONID。我的

java struts2 sessionid owasp session-hijacking

回答 1 投票 0

使用 OWASP CSRF Guard 时的空白页和响应

我正在尝试在我正在更新的 Web 应用程序中实现 OWASP CSRF Guard（用 Java 17 编写，在 tomcat 10.1.25 服务器上运行）。我们一直在使用 ESAPI 库，但由于我们只...

java csrf owasp

回答 1 投票 0

当服务器响应不是 HTML 格式时，是否推荐使用 X-Frame-Options 标头？

我目前正在审核 API，所有端点都以 JSON 格式向我发送响应。我在 OWASP 网站上看到只有 CSP、Permissions-Policy 和 Referrer-Policy 标头不是

html json owasp x-frame-options

回答 1 投票 0

Sonatype OSS 索引分析器请求组件错误报告 javax.net.ssl.SSLHandshakeException:

我在 Jenkins 中使用 dependency-check-cli 版本 6.1.0，在扫描 jar 文件时出现以下错误。 [DependencyCheck] [WARN] 分析 '/JenkinsHome/.jenkins/

java ssl https ssl-certificate owasp

回答 3 投票 0

提供OWASP测试数据

我希望提高 OWASP Zap 扫描的准确性和置信度。它正在攻击具有以下示例结构的站点： /api/人//儿童/ 我希望提高 OWASP Zap 扫描的准确性和置信度。它正在攻击具有以下示例结构的站点： <URL>/api/people/<adultName>/children/<childName> 在此示例中，childName 的有效数据显然依赖于 AdultName。使用 OWASP 进行攻击时，生成的唯一 URL 是以下变体： localhost/api/people/adultName/children/childName 如果我可以提供 AdultName/childName 的 ZAP 工作示例，那么它就可以在数据正确时测试场景，即绕过基于 400 的错误代码并测试应用程序的其他部分，这将是理想的选择。我可以将路径标记为 DDN，但似乎没有办法提供测试数据来配合它。使用登录凭据，您可以提供显式的用户名/密码组合，但奇怪的是我不能使用其他基于 URL 的数据。我错过了什么？有一种简单的方法可以为 ZAP 提供测试数据，只需通过 ZAP 代理带有该数据的请求:) 如果您拥有 ZAP，您可以通过 ZAP 代理单元测试 - 它们通常是测试数据的良好来源。

security owasp zap

回答 1 投票 0

使用 OWASP ZAP 的 Jenkins 管道

我有一个 Jenkins 管道，可以在本地环境中持续构建 Python 应用程序。这是代码：管道{ 代理任何阶段{ 阶段（'结账'）{ 圣...

jenkins jenkins-pipeline owasp

回答 1 投票 0

我可以将owasp zap 与空手道框架集成吗？

我开始对项目中的api进行自动化测试，我想运行安全验证，就像使用 owasp zap 扫描仪完成的那样，但沉浸在我的空手道自动化中。那是...

automation automated-tests karate owasp zap

回答 1 投票 0

X-Frame-Options 和不存在的 html 文件上的 OWASP ZAP 误报

我正在使用 OWASP ZAP 来测试我的应用程序是否存在漏洞。我正在使用登录页面的 URL 进行快速启动攻击。我正在从 Eclipse 的 Tomcat 上运行该应用程序。目前...