时间戳

首页 > 解决方案 > OWASP ZAP 警报详细信息中许多警报的具有空白值的风险字段

security - OWASP ZAP 警报详细信息中许多警报的具有空白值的风险字段

问题描述

有人可以建议为什么OWASP ZAP警报详细信息中的许多警报的风险数据为空白，可在以下 ZAP 官方网站上找到：

https://www.zaproxy.org/docs/alerts/

例如 -

Id      Alert                                                               Risk

10011   Cookie Without Secure Flag                                          Low
10009   In Page Banner Information Leak
10015   Incomplete or No Cache-control and Pragma HTTP Header Set
10017   Cross-Domain JavaScript Source File Inclusion
10019   Content-Type Header Missing
10020   X-Frame-Options Header
10020-1 X-Frame-Options Header Not Set                                      Medium

在这种情况下，应如何定义风险或严重性。是否应该基于风险是否适用于特定的 Web 应用程序。

此外，对于某些警报，在 ZAP 报告中，风险填充为例如Low(Medium)。它应该被认为是低还是中。

标签： securityowaspzapwebsecurity

解决方案

该文档仍在进行中。一些扫描规则会引发多个警报（风险不同）。主动和被动扫描规则具有不同的默认方法/值。该团队正在努力解决扫描规则中的这两种情况，并通过关联警报描述文档。

这Low(Medium)是风险（信心）。（不是风险和风险。）

推荐阅读