安全扫描现场

我最近对我工作的其中一个站点进行了安全审计.这是通过Acunetix Web漏洞扫描程序完成的.这回来了一堆我正在整理的结果.

很多关于XSS的点击率都出现了,但我不确定它们是否是误报.

代码如:

if(isset($_GET['variableNameX']))
    $var_to_use_in_app = mysql_escape_string(trim($_GET['variableNameX']));

回来对XSS开放.任何带有查询字符串的页面都会回来,因为它可能对XSS开放,或者它是否足够聪明,知道我正在处理这个服务器端？

谢谢您的帮助.

如果有传入querystring参数的HTML,你会在页面上显示它吗？如果是这样,那不是误报.

换句话说,如果你通过了类似的东西:http: //www.example.com/？myVar = Test

并且您在页面上显示myVar的结果而不测试HTML/Script,然后有人可能会将其更改为:http://www.example.com/？myVar = Test ;