cgi scanning disabled because http

cgi scanning disabled because http code 302

Diese Frage ist Unbeantwortet
abcampa 03.05.2012 11:00

running some scans on webapps, we are running into this scenario with a site. Plugin 10386



This is what is in the plugin output:

CGI scanning will be disabled for this host because the host responds 
 to requests for non-existent URLs with HTTP code 302 
 rather than 404.



The requested URL was : 

 https://www.website.com/7FdgsU098r6n.html





other web app scanners follow the 302 redirect and still run the scan. Is this something that should be changed in Nessus or what was the reason for disabling cgi scanning because of 302s?



I noticed this scanner evaluation criteria says that scanners should be able to handle 302s. (see section 4.3.4)

http://projects.webappsec.org/w/page/13246986/Web%20Application%20Security%20Scanner%20Evaluation%20Criteria

2014 Ansichten
Tags:

Re: cgi scanning disabled because http code 302
Renaud
Renaud 04.05.2012 07:29 (als Antwort auf: abcampa)

Actually, the wording of that particular plugin is bad and needs to be re-worked. What happens is that in the (very distant) past, we'd determine if a CGI existed by doing a GET /some/cgi and check the error code -- 200 indicating that the CGI existed, and 404 if not. Of course, this lead to a lot of false positives, since servers started to issue different codes than 200/404 (or would issue a 200 for a 404, a 302 for a 404 or a 302 for a 200). So we came up with a system which disabled these checks when the remote server was behaving "badly".



Today, though, 99% of our web-related checks do _not_ rely on the error code and do not get disabled when the remote server behaves unexpectedly. These checks also handle 302 redirections by default.





TL;DR: this is an informational message only and affects very little checks, if any. I do understand your concern and we'll get the wording fixed.

Ergebnisse (Deutsch) 1:

CGI-Scan deaktiviert, da http code 302Diese Frage ist UnbeantwortetAbcampa 03.05.2012 11:00einige Scans auf Webapps ausgeführt wird, laufen wir in diesem Szenario mit einer Website. Plugin 10386 Darum geht es in der Plugin-Ausgabe:Scannen von CGI wird für diesen Host deaktiviert werden, da der Host für nicht existente URLs mit http-Code 302 anstatt 404 auf Anfragen antwortet. Die angeforderte URL war: https://www.website.com/7FdgsU098r6n.html andere Web app Scanner 302 Redirect zu folgen und noch führen Sie den Scan. Ist das etwas, das geändert werden soll, Nessus oder was war der Grund für die Deaktivierung Cgi wegen 302s Scannen? Ich bemerkte diesen Scanner Bewertungskriterien sagt, dass Scanner 302s behandeln können. (siehe Abschnitt 4.3.4)http://Projects.webappsec.org/w/Page/13246986/Web%20Application%20Security%20Scanner%20Evaluation%20Criteria 2014-Ansichten Tags: Re: Cgi Scans deaktiviert, da http code 302 Renaud Renaud 04.05.2012 07:29 (als Antwort Auf: Abcampa) Tatsächlich, die Formulierung, dass bestimmte Plugin ist schlecht und muss überarbeitet werden. Was passiert das (sehr weit) in der Vergangenheit ist, würden wir feststellen, ob eine CGI gab es auf diese Weise eine GET/irgend/Cgi und überprüfen Sie den Fehlercode--200 darauf hinweist, dass CGI existierte und 404, wenn nicht. Natürlich, dies führte zu viele Fehlalarme, da Server gestartet, um verschiedene Codes als 200/404 ausstellen (oder würde ein 200 für einen 404-Fehler, eine 302 für einen 404-Fehler oder ein 302 für eine 200 Problem). So kamen wir mit einem System, das diese Prüfungen deaktiviert, wenn der remote-Server "schlecht" Verhalten war. Heute jedoch 99 % unserer Web-bezogene Prüfungen _nicht_ verlassen Sie sich auf den Fehlercode und nicht deaktiviert bekommen, wenn der remote-Server unerwartet verhält. Diese Prüfungen übernehmen auch 302 Umleitungen standardmäßig. TL; DR: Dies ist nur eine Informationsmeldung und sehr wenig Kontrollen betrifft, falls vorhanden. Ich verstehe Ihr Anliegen und wir werden den Wortlaut festgelegt.

Ergebnisse (Deutsch) 3:

cgi - code deaktiviert, da http 302diese frage ist unbeantwortetabcampa 03.05.2012 11: 00 uhrlaufen einige scans webapps, laufen wir in diesem szenario mit einer website.plug - in - 10386das ist, was in der plugin - produktion:cgi - scanner werden deaktiviert das gastgeber, weil der gastgeber reagiert und # 8232; anträge auf null urls mit http - code 302 & # 8232; anstatt 404.der angeforderten url: & # 8232; & # 8232; https://www.website.com/7fdgsu098r6n.htmlandere web - app - scanner folgen dem 302 umleitung und immer noch da.ist das etwas, das nicht geändert werden sollten, nessus - oder was ist der grund für ein cgi - weil der 302 "ern?mir fiel auf, dass diese scanner bewertungskriterien sagt, dass die scanner zu handhaben zu können (siehe abschnitt 4.3.4) 302 "ern.http: / / projekte. webappsec. org / w / page / 13246986 / web% 20application%%%% 20criteria 20evaluation 20security 20scanner2014 ansichtentags:re: cgi - code deaktiviert, da http 302renaudrenaud 04.05.2012 07: 29 (als antwort auf: abcampa)eigentlich, die formulierung dieser plugin ist schlecht und muss wieder gearbeitet.was passiert, ist, dass in der vergangenheit sehr fernen), würden wir feststellen, ob ein cgi - existiert, indem es ein - / einige / cgi - und überprüfen sie den fehler - code 200 darauf hinweist, dass das cgi - existiert und 404, wenn nicht.natürlich, das zu viele fehlalarme, weil server an frage unterschiedliche codes als 200 / 404 (oder überhaupt kein 200 404, 302 ein 404 oder 302 für 200).so kamen wir auf ein system, das die behinderten diese kontrollen, wenn der server sich "schlecht".aber heute 99% unserer web verbundenen kontrollen nicht _not_ verlassen sich auf den fehler - code und nicht deaktiviert, wenn die server verhält sich unerwartet.diese kontrollen mit 302 umleitungen standardmäßig.tl; dr. dies ist eine informative meldung nur auf sehr wenig kontrolle, wenn überhaupt.ich verstehe ihre sorge und wir holen den wortlaut behoben.