css - Appscan 在 CSS 属性名称或属性值之间放置反斜杠并将其标记为跨站点脚本问题

Question

我们最近在我们的 PHP 元素上运行了 Appscan。扫描报告显示 ""style =font-family:expression(alert(3614))! 是一个问题，因为如果我将此字符串作为 URL 中的值传递，那么我将收到警报。< br/>所以我写了一个正则表达式来解决这个问题，正则表达式是: /[\s]*\bstyle[\s]*=[\s]*[^:]*:[\s]*expression\b/我

和 /[\s]*\bstyle[\s]*=[\s]*[^=]*=[\s]*expression\b/i 来解决更多问题问题。

现在我再次运行扫描以检查我的代码是否正常工作，这次 appscan 报告了一个类似的问题，但在字符之间嵌入了一个反斜杠，问题是:
""style =font-family:expres\sion(alert(3614))!

请注意在表达式字符串的's'之间插入反斜杠。

我有一些疑问请澄清。

#myDiv {
    background-color: red;
    height: expression(document.body.offsetHeight);
} 

与

相同

#myDiv {
    back\g\r\o\u\nd-color: red;
    height: e\x\p\res\s\i\on(document.body.offsetHeight);
} 

除了 'e' OR 'b' OR 'a' OR 'c' 前面的反斜杠

以上 CSS 代码产生相同的输出，带反斜杠和不带反斜杠。有人可以解释问题是什么以及我如何解决这个问题，以便 Appscan 满意

Answer 1

AppScan 测试许多不同的变体(有效负载)以找出可能被报告为同一问题的内容。我相信您在这里看到的是，其中一个变体没有使用您定义的正则表达式进行过滤。导致积极的发现。