Wie mit XSS in einer URL-Abfragezeichenfolge in ASP.net 3.5 mit C#

Question

umgehen Ich bin derzeit versuchen, meine Website von XSS-Attacken in der Url zu sichern. Zum Beispiel, wenn der Angreifer Firefox verwendet, können sie folgendes tun:

Und das Skript wird ausgeführt. Ich suche jetzt seit ein paar Tagen und kann keine Lösung finden, die funktioniert. Momentan habe ich die AntiXSS-Bibliothek von MS ausprobiert. Ich glaube nicht, dass es funktioniert richtig ich kodiert die gesamte URL wie so

Mircosoft.Security.Application.Encoder.HtmlEncode(path); 

Ich habe versucht, alle anderen Methoden in dieser Klasse auch und das Skript noch vor dem Laden der Seite ausgeführt wird. Ich verwende ASP.net 3.5 mit Webforms und kann kein Upgrade durchführen.

Answer 1

https://www.microsoft.com/en-us/download/details.aspx?id=28589

sie haben diese DLL, die im Grunde alles, was Sie tun müssen, ist die sanitize Methode zu verwenden, und wenn es eine Änderung zwischen dem ursprünglichen Wert und dem Wert hygienisiert, das bedeutet, dass es könnte ein Versuch sein, für XSS, und Sie werfen entweder alles oder verwenden Sie einfach den bereinigten Wert.

Verwenden Sie keine Codierungsmethode, es gibt eine Methode namens "Sanitize".

EDIT: Codebeispiel

val = Microsoft.Security.Application.Sanitizer.GetSafeHtmlFragment(val); 
val = System.Web.HttpUtility.HtmlDecode(val); 

EDIT 2: https://www.nuget.org/packages/HtmlSanitizationLibrary/

die dll ich verwende ist HtmlSanitizationLibrary.dll