OWASP zap SQLi

Rook сказал(а):

Всем доброго дня. Прошу вас дать мне подсказку или помочь решить мой вопрос. С помощью Zap,просканировав сайт,он нашел много sql инъекций,но jSQL говорит что такой инъекции нет. Так как быть тогда?

Нажмите, чтобы раскрыть...

robdollard сказал(а):

Может ее действительно нет? А ты получил от него false positive.

Нажмите, чтобы раскрыть...

Rook сказал(а):

А как распознать ее? В основном там в атаке пишется через &query='1=1 --

Нажмите, чтобы раскрыть...

robdollard сказал(а):

sqlmap -u "host" --level 5 --risk 3 ну а там увидишь что и как, может там WAF подключишь тамперы, или ручками раскрутишь

Нажмите, чтобы раскрыть...

Rook сказал(а):

Спасибо за помощь
UPD
Т.е нужно вставать полностью ссылку с запа в sqlmap 'host' то что вы написали?

Нажмите, чтобы раскрыть...