Markdown 和 XSS

Question

好的，所以我一直在 SO 和其他地方阅读有关 markdown 的内容，用户输入和数据库之间的步骤通常给出为

1. 将 markdown 转换为 html
2. 清理 html（带白名单）
3. 插入数据库

但对我来说更有意义执行以下操作：

1. 清理 markdown （删除所有标签 - 没有例外）
2. 转换为 html
3. 插入数据库

我错过了什么吗？在我看来，这几乎可以防止 xss

Answer 1

请参阅此链接：

http://michelf.com/weblog/2010/markdown-and-xss/

> hello <a name="n"
> href="javascript:alert('xss')">*you*</a>

变成

<blockquote>
 <p>hello <a name="n"
 href="javascript:alert('xss')"><em>you</em></a></p>
</blockquote>

∴ 转换为 HTML 后必须进行清理。

Answer 2

您的提议存在两个问题：

1. 我看不到您的用户能够格式化帖子的方法。例如，您利用 Markdown 提供了漂亮的编号列表。在提议的无标签无例外世界中，我不知道最终用户如何能够做这样的事情。
2. 更重要的是：当使用 Markdown 作为“本机”格式化语言并将其他可用标签列入白名单时，您不仅限制了世界的输入端，还限制了输出。换句话说，如果您的显示引擎需要 Markdown 并且只允许白名单内容流出，即使（上帝禁止）有人访问数据库并将一些讨厌的恶意软件代码注入到一堆帖子中，实际网站及其用户也会受到保护因为您也在展示时对其进行消毒。

网络上有一些关于输出清理的好资源：

• 清理用户数据：在哪里以及如何进行
• 输出清理（我的一位客户（我的一位客户将保持匿名，其受影响的系统不是由我开发）受到了这种蠕虫病毒的攻击。当然，我们已经保护了这些系统。 )
• BizTech：最佳实践：从未听说过 XSS？

Answer 3

当然，删除/转义所有标签将使标记语言更加安全。然而，Markdown 的重点在于它允许用户包含任意 HTML 标签以及它自己的标记形式 (*)。当您允许 HTML 时，无论如何您都必须清理/白名单输出，因此您最好在 Markdown 转换之后执行此操作以捕获所有内容。

*：这是一个我完全不同意的设计决策，而且我认为在 SO 中没有被证明有用，但它是一个设计决策，而不是一个错误。

顺便说一下，第3步应该是“输出到页面”；这通常发生在输出阶段，数据库包含原始提交的文本。

Answer 4

1. 插入数据库
2. 将 markdown 转换为 html
3. 清理 html（带白名单）

perl

use Text::Markdown ();
use HTML::StripScripts::Parser ();

my $hss = HTML::StripScripts::Parser->new(
   {
       Context         => 'Document',
       AllowSrc        => 0,
       AllowHref       => 1,
       AllowRelURL     => 1,
       AllowMailto     => 1,
       EscapeFiltered  => 1,
   },
   strict_comment => 1,
   strict_names   => 1,
);

$hss->filter_html(Text::Markdown::markdown(shift))

Answer 5

1. 将 markdown 转换为 html
2. 清理 html（带白名单）
3. 插入数据库

这里，假设

1. 给定危险的 HTML，清理程序可以生成安全的 HTML。
2. 安全HTML的定义不会改变，所以如果我将其插入数据库时​​是安全的，那么当我提取它时也是安全的。

1. 清理 markdown（删除所有标签 - 无一例外）
2. 转换为 html
3. 插入数据库

这里的假设是

1. 给定危险的markdown，清理程序可以生成markdown，当通过不同的程序转换为HTML时将是安全的。
2. 安全HTML的定义不会改变，所以如果我将其插入数据库时​​是安全的，那么当我提取它时也是安全的。

Markdown 清理程序不仅要了解危险的 HTML 和危险的 Markdown，还要了解 Markdown->HTML 转换器如何完成其​​工作。这使得它比上面更简单的 unsafeHTML->safeHTML 函数更复杂，并且更容易出错。

作为一个具体示例，“删除所有标签”假设您可以识别标签，并且无法抵御 UTF-7 攻击。可能存在其他编码攻击使这一假设毫无意义，或者可能存在导致 markdown->HTML 程序转换的错误（全角 '<'，通过 markdown、SCRIPT 剥离的奇异空白字符）到

最安全的方法是：

1. 清理 markdown（删除所有标签 - 无例外）
2. 将 markdown 转换为 HTML
3. 清理 HTML
4. 插入到标记有风险的数据库列
5. 每次从数据库获取该列时重新清理 HTML

这样，当您更新 HTML 时消毒剂，您可以免受任何新发现的攻击。这通常效率低下，但您可以通过存储插入 HTML 的时间戳来获得相当好的安全性，这样您就可以知道在有人知道攻击通过了您的消毒程序时可能插入了哪些内容。