偵測

程式碼插入 (定時攻擊)

critical Web App Scanning Plugin ID 98122

語系：

概要

程式碼插入 (定時攻擊)

說明

現代 Web 應用程式將依賴數種不同的程式設計語言。

這些語言可以分成兩種類型。這些是用來形成動態頁面的用戶端語言 (例如在瀏覽器中執行的語言，例如 JavaScript) 和伺服器端語言 (由伺服器執行，例如 ASP、PHP、JSP 等等)。用戶端程式碼)，然後傳送至用戶端。

因為所有伺服器端程式碼都應該由伺服器執行，所以它應該只來自受信任的來源。

伺服器取得未受信任的程式碼 (即來自用戶端) 並執行該程式碼時，會發生程式碼插入。

網路攻擊者會濫用此弱點在伺服器上執行任意程式碼，進而導致整個伺服器遭到入侵。

透過插入已知需要特定時間執行的伺服器端程式碼，掃描程式能夠偵測到時間型程式碼插入。這表示未進行適當的輸入清理。

解決方案

建議永遠不要將不受信任的輸入視為伺服器端程式碼。
若要驗證輸入，應用程式應確保提供的值僅包含執行相關動作所需的資料。
例如，如果需要使用者名稱，則不應接受任何非字母字元。

另請參閱

http://docs.python.org/py3k/library/functions.html#eval

http://en.wikipedia.org/wiki/Eval#Ruby

http://perldoc.perl.org/functions/eval.html

http://php.net/manual/en/function.eval.php

http://www.aspdev.org/asp/asp-eval-execute/

Plugin 詳細資訊

嚴重性: Critical

ID: 98122

類型: remote

已發布: 2017/3/31

已更新: 2023/1/23

掃描範本: api, pci, scan

風險資訊

VPR

風險因素: High

分數: 8.4

CVSS v2

風險因素: Critical

基本分數: 10

媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Critical

基本分數: 9.8

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVSS 評分資料來源: Tenable

參考資訊