Verhindert die HTML-Codierung XSS-Sicherheitsexploits?

Question

Durch einfache folgende ("die großen 5") umzuwandeln:

& -> & 
< -> &lt; 
> -> &gt; 
" -> &#034; 
' -> &#039; 

Werden Sie XSS-Angriffe zu verhindern?

Ich denke, Sie müssen auch auf einer Zeichenebene Whitelist, um zu verhindern, certain attacks, aber die following answer Staaten es kompliziert Probleme.

BEARBEITEN Diese page Details it does not prevent more elaborate injections, does not help with "out of range characters = question marks" when outputting Strings to Writers with single byte encodings, nor prevents character reinterpretation when user switches browser encoding over displayed page. Im Wesentlichen nur entkommen diese Zeichen scheint eine ziemlich naive Ansatz.

Answer 1

Verhindern Sie XSS-Angriffe?

Wenn Sie diese zur richtigen Zeit zu entkommen (*), dann ja, werden Sie HTML-Injektion zu verhindern. Dies ist die häufigste Form von XSS-Angriffen. Es ist nicht nur eine Frage der Sicherheit, Sie müssen die Escapes trotzdem ausführen, damit Strings mit diesen Zeichen trotzdem korrekt angezeigt werden. Das Thema Sicherheit ist eine Teilmenge der Frage der Korrektheit.

Ich glaube, Sie auf einer Zeichenebene weiße Liste müssen auch bestimmte Angriffe zu verhindern

Nr HTML-escaping jeden dieser Angriffe als inaktiv Klartext auf der Seite machen wird, die ist was du willst. Die Palette der Angriffe auf dieser Seite demonstriert verschiedene Möglichkeiten der HTML-Injection, die die dümmeren "XSS-Filter" umgehen können, die einige Server bereitstellen, um häufige Angriffe durch HTML-Injection zu verhindern. Dies zeigt, dass "XSS-Filter" von Natur aus undicht und ineffektiv sind.

Es gibt andere Formen von XSS-Angriff, die Sie nicht beeinflussen könnten oder könnten, beispielsweise schlechte Systeme auf Benutzer übermittelten URIs (javascript: et al), Injektion von Code in Daten in einen JavaScript-Block hallte (wo man JSON- brauchen Stil-Escaping) oder in Stylesheets oder HTTP-Response-Headern (wiederum benötigen Sie die entsprechende Form der Codierung, wenn Sie Text in einen anderen Kontext einfügen; Sie sollten immer misstrauisch sein, wenn Sie eine unausgearbeitete Interpolation wie PHP's "string $var string" sehen).

Dann gibt es Datei-Upload-Behandlung, Flash-Herkunftsrichtlinie, UTF-8 überlange Sequenzen in älteren Browsern, und Probleme bei der Generierung von Inhalten auf Anwendungsebene; All dies kann potenziell zu Cross-Site-Scripting führen. Aber HTML-Injection ist das Hauptproblem, mit dem jede Webanwendung konfrontiert wird, und die meisten PHP-Anwendungen werden heute falsch dargestellt.

(*: das heißt, wenn Textinhalt in HTML einfügen und zu keiner anderen Zeit keine HTML-Escape-Formularübermittlung Daten in $_POST/$_GET zu Beginn des Skripts, das ist ein gemeinsamer verquer Fehler..)

Answer 2

Gegenmaßnahmen hängen vom Kontext ab, in dem die Daten eingefügt werden. Wenn Sie die Daten in HTML einfügen, wird das Einfügen des HTML-Metazeichens durch Escape-Sequenzen (z. B. Zeichenreferenzen) verhindert.

Aber wenn Sie in einem anderen Kontext (z. B. HTML-Attributwert, der als URL interpretiert wird) haben Sie zusätzliche Meta-Zeichen mit verschiedenen Escape-Sequenzen, mit denen Sie umgehen müssen.

Answer 3

OWASP hat einen großen Spickzettel.

1. Goldene Regeln
2. Strategies
3. Etc.

https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet