我创建了一个 signalR 站点，用于显示从我们的内部网收集的服务器数据。一切都相应地工作，没有问题。
页面上没有用户输入。它本质上是一个仪表板。
我用谷歌搜索过，直接搜索了IBM的网站，并在jabbR中询问...但没有结果说明为什么会发生这种情况。我理解有关注射的关键信息...但没有要注入的用户输入，这是 SignalR 的连接建立。
有什么想法吗？可能的假阳性？
IBM Security Appscan 报告：
HTTP/1.1 200 OK
Cache-Control: no-cache
Pragma: no-cache
Transfer-Encoding: chunked
Content-Type: application/json; charset=UTF-8
Expires: -1
Server: Microsoft-IIS/8.5
X-Content-Type-Options: nosniff
X-AspNet-Version: 4.0.30319
Persistent-Auth: true
X-Powered-By: ASP.NET
Date: Thu, 21 Apr 2016 20:18:46 GMT
{
"Url": "/signalr",
"ConnectionToken": "0l6V6C/DRJsZ3dOFpL+UO+hpOt5NtkBiGLREN9L5no6/hD1a6ZYTdQJRX8bWG0nJfM+4aRRHvfoeTD9b2tjEf84aX+/ANWsnBe8QKupoTkguzE2P3G3zifuEH2lDMOlr7fCiQYbBUvi20Mb4bLlngw==",
"ConnectionId": "fce58409-d505-4534-a318-01b90e333c57",
"KeepAliveTimeout": 20.0,
"DisconnectTimeout": 30.0,
"ConnectionTimeout": 110.0,
...
AppScan 发送了三个请求：错误、真和假。这三种反应都不同，这暗示了MongoDB注入成功了。
尝试使用 appscan 本身重新测试特定漏洞。大多数情况下，appscan 在盲SQL注入和MongoDB NoSQL注入方面显示误报结果。
如果您使用的是 appscan 标准：右键单击特定漏洞并点击重新测试。