在这种情况下,Checkmarx工具似乎是正确的。
“日志伪造”漏洞意味着攻击者可以设计对安全敏感的操作的日志,并放置错误的审核跟踪,从而可能牵扯到无辜的用户或隐藏事件。
使用时htmlEscape
会转义一些特殊字符:
它不会转义或删除为了保持日志完整性而必须避免的换行符/ EOL /制表符。
避免日志伪造的最佳实践建议是:
cleanInput = input.replace('\t', '-').replace('\n', '-').replace('\r', '-');
希望可以解决您的问题。