使用 Flex 和 ASP.NET 保存文件时如何防止 XSS 漏洞？
我已经使用alivePDF在我的flex应用程序中实现了PDF生成功能，我想知道我用于将文件获取给用户的过程是否会创建XSS漏洞。
这是我当前正在使用的过程：
- 在 Flex 应用程序中创建 PDF。
- 使用 POST 将二进制 PDF 文件连同要传送的文件名一起发送到服务器。
- 服务器上的 ASP.NET 脚本检查文件名以确保其有效，然后将其作为 HTTP 附件发送回用户。
鉴于此，我应该采取哪些措施来防止 XSS？
I've implemented a PDF generation function in my flex app using alivePDF, and I'm wondering if the process I've used to get the file to the user creates an XSS vulnerability.
This is the process I'm currently using:
- Create the PDF in the flex application.
- Send the binary PDF file to the server using a POST, along with the filename to deliver it as.
- An ASP.NET script on the server checks the filename to make sure it's valid, and then sends it back to the user as an HTTP attachment.
Given that, what steps should I take to prevent XSS?
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
除了文件名之外还有其他 GET 或 POST 参数吗？
预防XSS主要有三种策略：验证、转义和过滤。
验证：检测到无效字符后，拒绝 POST 请求（并向用户发出错误）。
转义：保存文件时可能不适用，因为您的操作系统对有效文件名有限制。
过滤：自动去除 POST 文件名参数中的任何无效字符。这就是我针对您的情况所推荐的。
在 ASP.NET 脚本中，立即获取 POST 字符串并删除以下字符：
< > & ' " ? % # ; +
Are there any other GET or POST parameters other than the filename?
In preventing XSS, there are three main strategies: validation, escaping, and filtering.
Validation: Upon detecting nvalid characters, reject the POST request (and issue an error to the user).
Escaping: Likely not applicable when saving the file, as your OS will have restrictions on valid file names.
Filtering: Automatically strip the POST filename parameter of any invalid characters. This is what I'd recommend for your situation.
Within the ASP.NET script, immediately grab the POST string and remove the following characters:
< > & ' " ? % # ; +
这将如何被 XSS 利用？您不会直接向用户输出某些内容。文件系统只会拒绝奇怪的字符，并且当将文件放入输出流时，名称和内容并不重要。
How is this going to be XSS exploitable? You aren't outputting something directly to the user. The filesystem will just reject strange characters, and when putting the file on the output stream, the name nor the content does matter.