coldfusion - 脚本保护 ColdFusion 9

Question

我正在尝试学习如何使用 scriptProtect但我想知道是否还需要做一些其他事情来尽可能地保护我的应用程序。另外，scriptProtect 是充当 HTMLEditFormat 还是完全独立的？

最后我的申请在另一个申请下ex: example.com/myapp/index.cfm我想我必须在主 application.cfc 下添加 scriptProtect的 example.com正确的？如果是这样，我是否应该预期主应用程序中的此标签会导致错误？我是否应该编写一个扩展组件和 application.cfc并添加 scriptProtect在那里？

Answer 1

亨利让你走上正轨。你绝对不能只依赖 scriptProtect功能。但是我认为可以将它与其他验证方法结合使用。而且，值得一提的是，ColdFusion 管理员中有一个全局设置可以启用 scriptProtect对于在该实例下运行的所有应用程序。它在管理员中被命名为“启用全局脚本保护”，可以在设置菜单下找到。
scriptProtect设置与 HTMLEditFormat 完全不同和 EncodeForXXXX()职能。我只是想指出 scriptProtect和/或“全局脚本保护”规则可以自定义。该设置通过应用 cf_root/lib/neo-security.xml 中定义的正则表达式来工作。服务器配置中的文件，或 cf_root/WEB-INF/cfusion/lib/neo-security.xml JEE 配置文件中的变量值。您可以通过修改 CrossSiteScriptPatterns 中的正则表达式来自定义 ColdFusion 替换的模式。多变的。

默认正则表达式定义为:

<var name='CrossSiteScriptPatterns'>
    <struct type='coldfusion.server.ConfigMap'>
        <var name='&lt;\s*(object|embed|script|applet|meta)'>
            <string>&lt;InvalidTag</string>
        </var>
    </struct>
</var>

这意味着，默认情况下，全局脚本保护机制仅查找包含 <object 的字符串。或 <embed或 <script或 <applet或 <meta在 FORM , URL , CGI , 和 COOKIE范围并将它们替换为 <InvalidTag .您可以增强该正则表达式以查找更多案例和/或根据需要更改替换字符串。

见 Protecting variables from cross-site scripting attacks section on this page