asp.netでのリモートOSコマンドインジェクション対策について

Question

現在asp.netでWEBサービスの開発を行っています。
無料の脆弱性チェックソフト「OWASP ZAP」を利用したところ
リモートOSコマンドインジェクションが発生する恐れがある、とアラートが出ましたが
どのように対策を行えばいいかわかりません。

そもそも一般的なasp.netのWEBサイトでリモートOSコマンドインジェクションは発生するものでしょうか？
POST値を書き換えられただけでシェルを起動及びコマンドが流れてしまうようには思えないのですが…

お詳しい方、お力をお貸しいただければと思います。
どうぞよろしくお願いいたします。

アラート例：
URL 　　　http：//xxxxx/xxxxxx.aspx
方法 　　　POST
パラメータ CB0620
攻撃 　　　1 "＆timeout / T 15＆"

該当箇所とは別ですが画像です。

Comments

[ockeghem]

これだけでは答えようがないと思います。当該のソースコードを示していただくとかしないと。CB0620パラメータでは何をしていますか?

[ockeghem]

ZAPの当該の指摘箇所の画面キャプチャーを掲載いただけますか?

[help_]

画像を追記いたしました。
実際のWEBページのことでしたら業務上画像を張ることが出来ません、申し訳ありません。

Answer 1

当該パラメータにAttackの値を手で入れてみて、15秒待ちが発生すればOSコマンドインジェクション、直ちに返ってきたら「OSコマンドインジェクションとは判定されない」（ないとも断言できない）かと思います。

Comments

[help_]

手で入力して実行してみたところ15秒の待ちは発生していないようです。
とりあえず未確認で進めていこうと思います。
回答ありがとうございました。