个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
25
4
全部:
我在使用 C# MVC4 进行的项目中遇到问题
在项目中，我是从用户那里接受一个URL等参数，然后做一些处理，把处理的结果发送到服务商提供的URL用户。
使用以下代码发送结果:
var context = HttpContext.Current;
context.Response.Write("<html><head>");
context.Response.Write("</head><body>");
context.Response.Write(string.Format("<form name=\"myform\" method=\"post\" action=\"{0}\" >", postUrl));
context.Response.Write("</form>");
context.Response.Write("<script type=\"text/javascript\">document.myform.submit();</script></body></html>");
context.Response.Write("</body>");
context.Response.Flush();
context.Response.Clear();
context.ApplicationInstance.CompleteRequest();
每当用户尝试 XSS，例如传递 javascript%3aalert('xss')%2f%2f 的 url 值时，JavaScript 就会运行并显示弹出窗口。
我试过 Antixss.HtmlEncode() 在将 URL 传递到 string.Format 之前对其进行编码，但仍然不起作用。我也尝试过 Antixss.UrlEncode()，但这会出错，因为表单不会提交到 URL。
请帮帮我，有什么我想念的吗？我还能做什么？
提前致谢。
最佳答案
您需要三管齐下的方法来解决这个问题。
防止 XSS 注入(inject):
请注意，如果用户输入了 url 值
" /> <script>alert('xss')</script>
这也会让你变得脆弱:
<form name="myform" method="post" action="" /> <script>alert('xss')</script>" >
因此你应该使用 HttpUtility.HtmlAttributeEncode函数来解决这个问题。
但是，不要止步于此。如前所述，您应该针对 javascript: 样式的 URL 进行投影。为此，我会确保 URL 以 http:// 或 https:// 开头。如果不是，抛出一个 SecurityException，您应该在服务器端记录和处理它，并向用户显示自定义错误页面。
最后，您想防范 Open Redirect Vulnerabilities .这是为了通过将用户重定向到其他域来阻止网络钓鱼攻击。同样，使用白名单方法并确保重定向到的域是您自己的域。请注意此处的解析，因为它很容易出错 - http://example.org?http://example.com 的 URL 将通过 的验证过滤器example.com 关于许多编写错误的验证例程。我建议在 .NET 中使用 Uri 对象并通过它检索域，而不是滚动您自己的字符串函数。
您还可以检查该 URL 是否为相对 URL，如果可接受则允许它。使用类似 this function 的东西它使用内置的 .NET 库来确保它是否是相对的。
关于javascript - 防止对表单进行 XSS 攻击，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/33531490/
25
4
0
我喜欢 smartcase，也喜欢 * 和 # 搜索命令。但我更希望 * 和 # 搜索命令区分大小写，而/和 ?搜索命令遵循 smartcase 启发式。 是否有隐藏在某个地方我还没有找到的设置？我宁
关闭。这个问题是off-topic .它目前不接受答案。 想改进这个问题？ Update the question所以它是on-topic对于堆栈溢出。 10年前关闭。 Improve this qu
从以下网站，我找到了执行java AD身份验证的代码。 http://java2db.com/jndi-ldap-programming/solution-to-sslhandshakeexcepti
似乎 melt 会使用 id 列和堆叠的测量变量 reshape 您的数据框，然后通过转换让您执行聚合。 ddply，从 plyr 包看起来非常相似..你给它一个数据框，几个用于分组的列变量和一个聚合
我的问题是关于 memcached。 Facebook 使用 memcached 作为其结构化数据的缓存，以减少用户的延迟。他们在 Linux 上使用 UDP 优化了 memcached 的性能。 h
在 Camel route ，我正在使用 exec 组件通过 grep 进行 curl ，但使用 ${HOSTNAME} 的 grep 无法正常工作，下面是我的 Camel 路线。请在这方面寻求帮助。
我正在尝试执行相当复杂的查询，在其中我可以排除与特定条件集匹配的项目。这是一个 super 简化的模型来解释我的困境: class Thing(models.Model) user = mod
我正在尝试执行相当复杂的查询，我可以在其中排除符合特定条件集的项目。这里有一个 super 简化的模型来解释我的困境: class Thing(models.Model) user = mod
我发现了很多嵌入/内容项目的旧方法，并且我遵循了在这里找到的最新方法(我假设):https://blog.angular-university.io/angular-ng-content/ 我正在尝试
我正在寻找如何使用 fastify-nextjs 启动 fastify-cli 的建议 我曾尝试将代码简单地添加到建议的位置，但它不起作用。 'use strict' const path = req
我正在尝试将振幅 js 与 React 和 Gatsby 集成。做 gatsby developer 时一切看起来都不错，因为它发生在浏览器中，但是当我尝试 gatsby build 时，我收到以下错
我试图避免过度执行空值检查，但同时我想在需要使代码健壮的时候进行空值检查。但有时我觉得它开始变得如此防御，因为我没有实现 API。然后我避免了一些空检查，但是当我开始单元测试时，它开始总是等待运行时异
尝试进行包含一些 NOT 的 Kibana 搜索，但获得包含 NOT 的结果，因此猜测我的语法不正确: "chocolate" AND "milk" AND NOT "cow" AND NOT "tr
我正在使用开源代码共享包在 iOS 中进行 facebook 集成，但收到错误“FT_Load_Glyph failed: glyph 65535: error 6”。我在另一台 mac 机器上尝试了
我正在尝试估计一个标准的 tobit 模型，该模型被审查为零。 变量是 因变量 : 幸福 自变量 : 城市(芝加哥，纽约)， 性别(男，女)， 就业(0=失业，1=就业)， 工作类型(失业，蓝色，白色
我有一个像这样的项目布局 样本/ 一种/ 源/ 主要的/ java / java 资源/ .jpg 乙/ 源/ 主要的/ java / B.java 资源/ B.jpg 构建.gradle 设置.gr
如何循环遍历数组中的多个属性以及如何使用map函数将数组中的多个属性显示到网页 import React, { Component } from 'react'; import './App.css'
我有一个 JavaScript 函数，它进行 AJAX 调用以返回一些数据，该调用是在选择列表更改事件上触发的。 我尝试了多种方法来在等待时显示加载程序，因为它当前暂停了选择列表，从客户的 Angul
可能以前问过，但找不到。 我正在用以下形式写很多语句: if (bar.getFoo() != null) { this.foo = bar.getFoo(); } 我想到了三元运算符，但我认
我有一个表单，在将其发送到 PHP 之前我正在执行一些验证 JavaScript，验证后的 JavaScript 函数会发布用户在 中输入的文本。页面底部的标签；然而，此消息显示短暂，然后消失...
我是一名优秀的程序员,十分优秀！