क्रॉस साइट से मेरी स्वयं की रक्षा पटकथा

Question

मैं लागू कर दिया है एक Request.QueryString["somestr"].ToString();

मैं HttpUtility.HtmlEncode(Request.QueryString["somestr"].ToString();

करके क्रॉस साइट स्क्रिप्टिंग को दबाने मैं अभी भी एक मुद्दा जहां एक उपयोगकर्ता कर सकते हैं:

myfriendlydomain.com /? somestr = '; चेतावनी (WOO XSS सफल); परीक्षण ='

मैं इसे कैसे होने से रोक सकता हूं?

अनुरोध:

//Code Behind 
if(request.querystring["somestr"] != null) 
{ 
    AffiliatesEmail = HttpUtility.HtmlEncode(Request.QueryString["somestr"].ToString();  
} 

//Front End 
<script type="text/javascript"> 
    //<![CDATA[ 
    /*** Do not change ***/ 
    var SomeVAR = {}; 
    SomeVAR.Tracking.Sale.orderRef = '<%= AffiliatesEmail %>'; 
    //]]> 
</script> 

<script src="https://www.somethirdparty.com/somejscript.js" type="text/javascript" defer="defer"> </script> 

यह हमारी कार्यान्वयन है। कुछ भी बाद में मुझे विश्वास नहीं है प्रासंगिक है।

Answer 1

स्ट्रिंग को साफ़ करने के लिए आप JavaScriptStringEncode() Method का उपयोग कर सकते हैं और इसे होने से रोकने के लिए इसे एन्कोड कर सकते हैं।

AntiXSS लाइब्रेरी का उपयोग करने का एक और तरीका है।

Answer 2

यह सुनिश्चित करने के लिए कि आपके पास वैध डेटा आ रहा है, आपको प्रत्येक क्वेरीस्ट्रिंग इनपुट को सत्यापित करने की आवश्यकता है। मैं किसी पृष्ठ पर सीधे मूल्य नहीं लिखूंगा।

Answer 3

उस संदर्भ को जानने के द्वारा जिसमें आप AffiliatesEmail स्ट्रिंग का उपयोग कर रहे हैं, यह यह जानने में सहायता करता है कि स्ट्रिंग को सत्यापित करने और उसे साफ करने में आपको कितना गहन होना है।

उदाहरण के लिए कहें, हम जानते हैं कि AffiliatesEmail केवल वैध था अगर यह संख्यात्मक था। इस तरह, यदि आप किसी भी Request.QueryString["somestr"] को अस्वीकार कर चुके हैं तो आपको संरक्षित किया जाएगा जो किसी संख्या के रूप में मान्य नहीं था।

अब मुझे संदेह है कि AffiliatesEmail वास्तव में एक वैध ईमेल पता होना चाहिए।

है कि ज्ञान का उपयोग करना, हम अब एक ईमेल पते के रूप में यह मान्य और बाकी सब कुछ अस्वीकार कर सकते हैं:

using System.Net.Mail; 
try 
{  
    MailAddress ma = new MailAddress(AffiliatesEmail); 
} 
catch (FormatException fe) 
{ 
    //Email isn't valid, so don't output it to the client!!! 
} 

कोड बस ऊपर सत्यापित करता स्ट्रिंग एक ईमेल पता (के रूप में नेट द्वारा परिभाषित) है या नहीं - अगर ऐसा नहीं है, तो हमें इसके बारे में चिंता करने की आवश्यकता नहीं है कि है, क्योंकि हम बस इसे भरोसा नहीं करते हैं।

तो क्वेरीस्ट्रिंग में जो कुछ भी हो रहा है उसे शांत करने पर भी लटका न लें - केवल स्वीकार्य सीमाओं को जानकर, आप जटिल रेगेक्स और एक्सएसएस-सफाई दिनचर्या से बच सकते हैं।