Comment prévenir les attaques de type XSS (Cross Site Scripting) tout en permettant une entrée HTML

Microsoft ont produit leurs propres anti-XSS bibliothèque, Microsoft Anti-Cross Site Scripting Library V4.0:

Microsoft Anti-Cross Site Scripting Library V4.0 Anti-Xss (V4.0) est une bibliothèque de codage conçu pour aider les développeurs à protéger leurs ASP.NET applications basées sur le web depuis les attaques XSS. Elle diffère de la plupart des bibliothèques d'encodage en ce qu'il utilise la technique de liste blanche, parfois appelé le principe de l'inclusion, pour fournir une protection contre les attaques XSS. Cette approche fonctionne par la définition d'un ensemble valide ou admissible de caractères, et l'encode en dehors de tout cet ensemble (caractères non valides ou les attaques potentielles). L'approche par liste blanche offre plusieurs avantages par rapport à d'autres systèmes de codage. Nouvelles fonctionnalités de cette version de Microsoft Anti-Cross Site Scripting Bibliothèque:- personnalisable liste de sécurité pour le code HTML et l'encodage XML - améliorations des Performances de Soutien pour un niveau de Confiance Moyen ASP.NET les applications HTML nom de l'Entité de Soutien - Invalide Unicode détection Améliorée de Substitution de la prise en charge des Caractères pour le code HTML et l'encodage XML - LDAP Codant pour l'Amélioration de l'application/x-www-form-urlencoded soutien

Il utilise une liste blanche approche de la bande de potentiel de XSS contenu.

Voici quelques liens pertinents liés à anti-xss:

• Anti-Cross Site Scripting Library
• Microsoft Anti-Cross Site Scripting Library V4.2 Anti-Xss (V4.2)
• Web De Microsoft À La Protection De La Bibliothèque

OriginalL'auteur Peter Bridger

Si vous souhaitez autoriser le HTML mais pas toutes, vous devriez utiliser quelque chose comme l'OWASP AntiSamy, qui vous permet de créer une liste blanche de la politique sur lequel les balises et les attributs de vous permettre.

HTMLPurifier pourrait aussi être une alternative.

Il est d'une importance cruciale que c'est une liste blanche approche, de nouveaux attributs et des événements sont ajoutés à HTML5 tout le temps, de sorte que toute la mise en liste noire serait un échec au sein de court laps de temps, et sachant que tous les "mauvais" attributs est également difficile.

Edit: Oh, et regex est un peu dur à faire ici. HTML pouvez avoir beaucoup de formats différents. Les balises peuvent être clôturés, les attributs pouvez commencer avec ou sans guillemets (simples ou doubles), vous pouvez faire des sauts de ligne et tous les types d'espaces dans les balises de nom à quelques questions. Je voudrais compter sur un welltested bibliothèque comme ceux que j'ai mentionnés ci-dessus.

OriginalL'auteur Erlend

J'ai essayer de remplacer l'élément d'étiquette de format comme ceci:

public class Utility
{
    public static string PreventXSS(string sInput) {
        if (sInput == null)
            return string.Empty;
        string sResult = string.Empty;
        sResult = Regex.Replace(sInput, "<", "< ");
        sResult = Regex.Replace(sResult, @"<\s*", "< ");
        return sResult;
    }
}

Utilisation avant d'enregistrer dans la base de données:

    string sResultNoXSS = Utility.PreventXSS(varName)

J'ai test que j'ai données d'entrée comme :

<script>alert('hello XSS')</script>

il sera exécuté sur le navigateur. Après l'ajout de l'Anti XSS le code ci-dessus seront:

< script>alert('hello XSS')< /script>

(Il y a un espace après <)

Et le résultat, le script ne sera pas exécuté sur le navigateur.

OriginalL'auteur toha