轉義< and >足以阻止XSS攻擊嗎？

Question

我敢肯定的是，這個問題的答案是沒有，但我似乎無法找到一種方法，簡單地轉化<和>到<和>不能完全反映塊和持久性XSS。

我不是在談論CSRF。

如果這不阻止XSS，你能提供一個如何繞過這個防禦的例子嗎？

Answer 1

在屬性中使用不受信任的字符串時（引用"），您需要將"轉義爲&quot。

否則，你可以很容易地注入JavaScript。例如，<a href="{{str}}">與str是例如" onmouseover='something-evil'"。

Answer 2

並非所有XSS攻擊都包括<或>，這取決於數據的插入位置。

https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet#Why_Can.27t_I_Just_HTML_Entity_Encode_Untrusted_Data.3F

Answer 3

不，這還不夠。請記住，XSS不僅僅是HTML中的不可信數據，您還可以在JavaScript和CSS中找到它。考慮一下這種情況，比如「var myVar = [input];」你可以用這個[輸入]值做任何類型的惡意事情，而不用走近尖括號。在XSS備忘單中有更多的例子：http://ha.ckers.org/xss.html

你已經在標籤中提到了ASP.NET;你想要看的是[AntiXSS library][1]。抓住這一點，並使用適當的輸出編碼：

Encoder.CssEncode() 
Encoder.HtmlEncode() 
Encoder.HtmlAttributeEncode() 
Encoder.JavaScriptEncode() 

等等等等。絕對沒有理由嘗試在.NET中做自己的字符替換。

Answer 4

號下面是兩個例子，其中逸出<，>，'，"和&是不夠的：

實施例1：

<a href="{{myUrl}}"> 

XSS攻擊：

myUrl = "javascript:alert(1)" 

例2：

<script>var page = {{myVar}};</script> 

XSS攻擊：

myVar = "1;alert(1)" 

，從而防止攻擊的方式參見https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet。