appscan漏洞之查询中的密码参数

最近用appscan扫描系统发现一个漏洞，是查询中的密码参数，原因是可能会窃取查询字符串中发送的敏感数据，根据扫描建议发送敏感信息时，始终使用 SSL 和 POST（主体）参数。

 

在排查问题时可能是因为以下几个问题：

1、报告中显示使用get方法，get传参本身不安全，
2、经拦截数据查验，本身系统使用的是post方法，但黑客使用get方式也可成功发送，后台验证get post请求方式要一致，
3、关于get、post两种请求方式的切换，渗透测试中有可能会使用请求头绕过认证模式
4、在F12查看前端时，发现密码字段使用PASSWORD,Y有可能是前端设置了主键。需查验JS 传参是不是主键