asp.net-mvc-3 - 数据 URI 和潜在危险的 Request.Path 值

Question

我已经尝试使用具有此 CSS 属性的数据 URI:

background-image: url("data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJAAAAGXRFWHRTb2Z0d2FyZQBBZG9iZSBJbWFnZVJlYWR5ccllPAAAAA9JREFUeNpiYGBg8AUIMAAAUgBOUWVeTwAAAABJRU5ErkJggg==");

在本地它工作正常。但是，当我调试文件时，chrome 中似乎缺少该文件。如果我尝试导航到它，我会得到:从客户端 (:) 检测到潜在危险的 Request.Path 值。

很明显，我的应用程序认为该图像的 URI 可疑。

如何让它显示？我尝试使用以下方法放宽验证:

<httpRuntime requestPathInvalidCharacters="" requestValidationMode="2.0" />
<pages validateRequest="false"></pages>

理想情况下，我不想放宽规则太多，只要足以加载这些数据 URI 图像即可。

Answer 1

我敢打赌，由于 Base-64 编码的 URI，应用程序认为该请求可疑。在 Base-64 中对恶意 URL 进行编码是攻击者通过前端过滤器获取 URL 的常见策略，这些过滤器会剥离和/或转义 URL，并掩盖任何阅读代码的人的请求。 XSS 攻击通常通过将这些 URI 之一存储在数据库中并返回给其他用户来完成。

因为这几天XSS的风险很高，所以很犹豫要不要禁用检查。如果可以，只需使用未编码的 URI。如果你不能，你应该问问自己为什么。如果您试图通过混淆 URI 来增强安全性，请注意这对于攻击者来说很容易解码。它不是任何形式的加密，只是表示数据的一种不同方式。