Font file string intepreted as Drupal Hash
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 2/5
- Thời gian dự kiến
- 1-3 giờ
- Mức phù hợp với người mới
- 50/100
- Loại issue
- Lỗi
- Độ rõ ràng
- Đặc tả rõ ràng
- Mức độ hoạt động
- Đình trệ
- Công nghệ
- javascript
- Lĩnh vực
- security
Hướng nghiên cứu
Bắt đầu tại passive/Find Hashes.js, khoảng dòng 60, nơi regex phát hiện hash Drupal được định nghĩa. Xem lại cách pattern khớp với nội dung response, sau đó xác minh rằng response woff2 không còn kích hoạt alert, trong khi các hash Drupal hợp lệ vẫn kích hoạt; issue không nêu tên file test.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
Describe the bug
False Positive:
Requires Passive Scanning Alpha in order to have the "Information Disclosure - Drupal Hash (Passive 100010).
A woff2 font file (and by extent, other files too?) content may contains strings that would trigger the regex
https://github.com/zaproxy/community-scripts/blob/bf5135a7cd2ebf9994e28ae354a49633c40abd6c/passive/Find%20Hashes.js#L60
Here is what triggered this regex in my case : $½$ u°+ºº¥nu÷{ûJ0»2¼ó¬$Óë¾}'d>æüºJVõmMdÒ
öVU<
As far as I know Drupal hashes are alphanumeric only.
Maybe a more restrictive regex like some others in the same file could do the job.
Steps to reproduce the behavior
- Have ZAP passive scan analyze a response with the content of a woff2 font file.
- If the file happens to contain a string starting with
$followed by a char, then another$, and whatever 52 other char then the request is going to be tagged as "Information Disclosure - Drupal Hash".
Expected behavior
As the content of a font file has nothing to do with a Drupal hash, this alert should not be raised.
Software versions
ZAP 2.15.0 Desktop
Screenshots
No response
Errors from the zap.log file
No response
Additional context
Passive Scanner Alpha v42.0.0
Would you like to help fix this issue?
- Yes
- Ngôn ngữ chính
- JavaScript
- Star
- 899
- Fork
- 260
- Merge trung bình
- 30 phút
- Pull request đã merge (30 ngày)
- 1
Chuẩn bị môi trường
- Không có Dockerfile hay tệp Docker Compose
- Không có mẫu pull request
- Đọc hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của zaproxy/community-scripts
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
zaproxy/community-scripts#524 · 1 bình luận ·
-
Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 90/100
zaproxy/community-scripts#522 · 1 bình luận ·
-
enhancement
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 35/100
zaproxy/community-scripts#440 · 2 reaction ·
-
Độ khó 5/5 Hơn một tuần Mức phù hợp với người mới 20/100
zaproxy/community-scripts#170 · 3 bình luận ·
-
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 25/100
zaproxy/community-scripts#61 · 1 bình luận ·
Tất cả issue của zaproxy/community-scripts
Issue tương tự
-
Add: OnTime Sports SD LogoĐang mởcheck:failed logos:add
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 67/100
iptv-org/database#38874 · 1 bình luận ·
Maintainer thường phản hồi trong vòng 4 ngày
-
documentation
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 85/100
githubnext/gh-aw-workshop#5193 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
-
agent/quality stage/040-covered-by-pr testing
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 85/100
cncf/endusers#2031 · 2 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày