javascript - 强化 : DOM based cross site scripting

Question

我有一个强化漏洞:跨站点脚本:DOM。

在我的应用程序(asp.net)中，我们动态构建 html 并将其分配给一个 div 标签，它在其中提示问题。

str += '<div id="' + itemID + '"';

if(somecondition==true){

  str += 'class="' + somevalue + '"';  

  }

if (somevalue == 0) {            

  str += ' style="position: relative; ';

  str += 'top:0; ' ;

  str += 'visibility: inherit; '

  }else{

  str += ' style="position: absolute; ';

  str += 'top: ' +  itemY + '; ' ;

  str += 'width: ' + w + '; ';

  str += 'height: ' + h + '; '

  str += 'visibility: inherit; '

...

……

构建完 html 后，我们将其分配给 div 标签，如下所示。

  var newDiv = document.createElement('div');

  document.getElementsByTagName('body').item(0).appendChild(newDiv);

  newDiv.innerHTML = str;

将 str 分配给 newDiv fortify 时将其显示为跨站点脚本:DOM 问题。

为了解决这个问题，我尝试使用 html 编码器，但没有成功。请分享您的意见以解决此问题。

Answer 1

仅对数据进行 HTML 编码是不够的。确保不安全数据针对其在文档中出现的上下文进行了正确编码。请参阅以下文章，其中讨论了各种上下文以及上下文相关编码的重要性:

1. http://security.coverity.com/document/2013/Mar/fixing-xss-a-practical-guide-for-developers.html
2. https://www.owasp.org/index.php/DOM_based_XSS_Prevention_Cheat_Sheet