vbscript - 正确删除经典 ASP 中的坏字符串

Question

我在我的经典 asp 应用程序上执行了 OWASP-ZAP 安全测试。它回来了Format String Vulnerability。

报告称它被ZAP%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s%n%s用作对某些表单输入字段参数（例如username）的攻击。

报告建议

使用正确删除坏字符串重写后台程序。

在我的情况下，这实际上意味着什么？
在这种情况下，在使用 request() 时是否足以替换特殊字符 - 例如 replace %in request(username)？还是我必须删除客户端的坏字符？

参考：https ://www.owasp.org/index.php/Format_string_attack

Answer 1

这可能是假阳性。我需要查看更多您的代码以及提供给它的触发 ZAP 警告的输入。

在客户端采取任何与安全相关的操作永远不会被信任，因为客户端验证可以用最少的专业知识来规避。您只能在服务器端执行清理，而执行清理的功能/子程序无法增强。