正在逃脱<和>足以阻止XSS攻击吗？

Question

我确信这个问题的答案是否定的，但我似乎找不到一种简单地将 < 和 > 转换为 & ;lt; 和 > 并不能完全阻止反射型和持久型 XSS。

我不是在谈论 CSRF。

如果这不能阻止 XSS，您能否提供一个如何绕过此防御的示例？

Answer 1

并非所有 XSS 攻击都包括 <或>完全取决于数据插入的位置。

https://www.owasp.org/index.php /XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet#Why_Can.27t_I_Just_HTML_Entity_Encode_Untrusted_Data.3F

Answer 2

在属性中使用不受信任的字符串（用 " 引用）时，您需要将 " 转义为 "。

否则你可以很容易地注入 JavaScript。例如，，其中 str 为 " onmouseover='something-evil'"。

Answer 3

不。这里有几个转义 <、>、'、" 和 的示例>& 还不够：

示例 1：

<a href="{{myUrl}}">

XSS 攻击：

myUrl = "javascript:alert(1)"

示例 2：

<script>var page = {{myVar}};</script>

XSS 攻击：

myVar = "1;alert(1)"

请参阅https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet 了解防止这些攻击的方法。

Answer 4

不，这还不够。请记住，XSS 不仅仅与 HTML 中的不可信数据有关，您还会在 JavaScript 和 CSS 中发现它。考虑诸如“var myVar = [input];”之类的情况您可以使用该[输入]值执行各种恶意操作，而无需靠近尖括号。 XSS 备忘单中还有更多示例： http://ha.ckers.org/xss.html< /a>

您在标签中提到了 ASP.NET；您想要查看的是[AntiXSS 库][1]。抓住这个并使用适当的输出编码：

Encoder.CssEncode()
Encoder.HtmlEncode()
Encoder.HtmlAttributeEncode()
Encoder.JavaScriptEncode()

等等等等。绝对没有理由尝试在 .NET 中进行自己的字符替换。