Как устранить пробелы в DAST-тестировании с помощью инструментации

[@Artsploit]

Burp suite прекрасно справляется с поиском XXE, но как и любое DAST решение, он должен знать формат запросов для вашего приложения. Конкретно, на какие URLs отправлять запросы и с какими query и post body параметрами.

В вашем случае, просто запустите сканирование и посмотрите во вкладку "Logger" в Burp Suite, там отображаются все запросы к серверу. Убедитесь что сканер правильно подхватил формат запроса к контроллеру "/bill" в котором находится уязвимость.

"Logger" предоставит вам гораздо больше информации что сделал или не сделал сканер чем JaCoCo.

[@Selenum]

Согласен с вашим замечанием, это был очевидный пример, но как логи помогут в решении тех проблем, которые обозначены в статье, мне не совсем ясно.

[@fuzzah]

"Как устранить пробелы в DAST-тестировании с помощью инструментации" - просто используйте инструментирующий фаззер, такой как jazzer, а не Burp Suite.

[@Selenum]

Статья о DAST, вы предлагаете просто использовать другую практику - Fuzzing-тестирование. С тем же успехом можно посоветовать использовать SAST.