OWASP ZAP сообщил «оповещение (1);» Уязвимость XSS, но всплывающее окно не появилось

OWASP ZAP сообщил «оповещение (1);» Уязвимость XSS, но мы не могли получить всплывающее окно в браузере. Это просто ложное срабатывание?

HTML-код, окружающий внедренную атаку:

<script type="text/javascript">
  DataSet.FilterBuilder.QueryValuesDictionary['57_ctl00'] = ;alert(1);;
</script>

javascript xss owasp zap
person IntelexLX    schedule 24.03.2015    source источник
comment
Intelex.DataSet.FilterBuilder.QueryValuesDictionary['57_ctl00'] = ; --- это недействительный код JS.   -  person zerkms    schedule 24.03.2015
comment
Вы определенно уязвимы: простой шаблон автоматизированного инструмента может не работать в этом случае, но любой реальный злоумышленник может легко это исправить. Кроме того, вы должны, как правило, включать формулировку вопроса в свой вопрос.   -  person Jeremy    schedule 24.03.2015
comment
Покажите нам код, который генерирует этот html, и мы дадим вам рабочий пример xss.   -  person Bergi    schedule 24.03.2015
comment
;предупреждение(1); был передан в параметры поста, иначе код должен быть: DataSet.FilterBuilder.QueryValuesDictionary['57_ctl00'] = {__type:ExpressionPredicate,predicates:[],expression:null};   -  person IntelexLX    schedule 24.03.2015
comment
отключить блокировку всплывающих окон   -  person epascarello    schedule 24.03.2015
comment
Это не ложное срабатывание. Поместите 0;alert(1); (обратите внимание на добавленный ноль) в качестве параметра сообщения, и он будет работать. Но тот факт, что любой ввод может вызвать синтаксическую ошибку в вашем коде, является достаточно явным признаком того, что он уязвим.   -  person Jeremy    schedule 24.03.2015
comment
Как сказал Джереми, это настоящая уязвимость. ZAP обнаружил, что он смог внедрить javascript таким образом, чтобы его можно было выполнить - тот факт, что этот конкретный вектор атаки не был запущен, не имеет значения;) Вы всегда должны дважды проверять результаты автоматизированных инструментов (как вы сделали, спросив здесь ). Вы также должны попытаться понять основные принципы, в этом случае похоже, что злоумышленник может внедрить произвольный javascript в ваше приложение - звучит не очень хорошо, не так ли?   -  person Simon Bennetts    schedule 24.03.2015
comment
Хотя 0;alert(1) по-прежнему не работает. Но я понял, почему это настоящая уязвимость, из ответов Джереми и Псионона. Благодарю вас!   -  person IntelexLX    schedule 24.03.2015