安全测试 FindBugs Security JSP 无法识别 jsp 页面<script>jstl</script>代码中的 xss 漏洞问题
Mina
·
2020年12月08日
·
1208 次阅读
问题说明
在对 JSP 页面进行代码扫描的时候，默认使用的是FindBugs Security JSP 规则，这条规则下有rules:Security - Potential XSS in JSP 专门针对 jsp 页面的 XSS 漏洞进行扫描，例 page_top.jsp：
<%
String taintedInput = (String) request.getAttribute("input");
%>
[...]
<%= taintedInput %>
这类型的编码，是扫的出来的。但是遇到以下这类代码，有很明显的注入问题，却是扫不出来的：
page_top.jsp
<script>
window._common_counter_code_ = "${param.channelId}";
window._common_counter_uuid_ = "${param.uuid}";
</script>
有相关经验的测试同行，清楚这个问题的原因吗？或是指个思路！多谢了
暂无回复。