veracode - 如何使用错误消息修复网页(基本 XSS)中与脚本相关的 HTML 标签的不当中和？

Question

我们在登录页面中使用 Web 控制适配器。最近我们在我们的 Web 应用程序上运行 VeraCode。在下面的函数中，我们得到了 CWE80, Improper Neutralization of Script-Related HTML Tags in a Web Page (Basic XSS)，上线了

rev.ErrorMessage = msg;

以下是 WebControlAdapterExtender 类中的函数。

static public void WriteRegularExpressionValidator(HtmlTextWriter writer, RegularExpressionValidator rev, string className, string controlToValidate, string msg, string expression)
        {
            if (rev != null)
            {
                rev.CssClass = className;
                rev.ControlToValidate = controlToValidate;
                rev.ErrorMessage = msg;
                rev.ValidationExpression = expression;
                rev.RenderControl(writer);
            }
        }

有没有人有任何建议如何解决这个问题？

Answer 1

问题是 'msg' 被传递给你的函数，但在它被使用之前没有中和它 - 字符串被使用 'as-is' 所以可能包含造成伤害的脚本。有一个很好的描述解释了这一点以及为什么会出现问题:http://www.veracode.com/images/pdf/top5mostprevalent.pdf

我自己没有使用过这个，但我认为 ErrorMessage 在出现错误时会被渲染和显示。因为如果 'msg' 是一个顽皮的代码片段，那么这将在最终页面上呈现，您将自己和您的用户暴露在安全漏洞中。

阅读此备忘单上的提示:https://www.owasp.org/index.php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet

你应该能够使用 HtmlEncode 来使这个安全 HttpUtility.HtmlEncode(unencoded);

rev.ErrorMessage = System.web.HttpUtility.HtmlEncode(msg);