Prevenire DOM XSS

Question

Recentemente abbiamo incorporato il codice di qualcun altro che è stato testato e fallito per gli attacchi DOM XSS. Fondamentalmente i frammenti URL vengono passati direttamente in selettori di jQuery e consentire JavaScript da iniettare, in questo modo:

"http://website.com/#%3Cimg%20src=x%20onerror=alert%28/XSSed/%29%3E)" 
$(".selector [thing="+window.location.hash.substr(1)+"]"); 

Il problema è che questo è effettuata in tutta loro script e avrebbe bisogno di un sacco di test di regressione per fissare esempio se sfuggiamo ai dati se le istruzioni non torneranno più vere in quanto i dati non corrisponderanno.

Il file JavaScript in questione è concatenato in fase di compilazione da molti file più piccoli, pertanto diventa ancora più difficile da risolvere.

C'è un modo per prevenire questi attacchi DOM XSS con un certo codice globale senza dover passare e eseguire il debug di ciascuna istanza.

---

ho proposto di aggiungere un po 'di espressione regolare nella parte superiore dello script di rilevare caratteri comuni utilizzati in attacchi XSS e di uccidere semplicemente lo script se restituisce true.

var xss = window.location.href.match(/(javascript|src|onerror|%|<|>)/g); 

if(xss != null) return; 

Questo sembra funzionare ma non sono felice al 100% con la soluzione. Qualcuno ha una soluzione migliore o qualche intuizione utile che possono offrire?

Answer 1

Se rispettate la soluzione di espressione regolare, il che è ben lungi dall'essere ideale, ma potrebbe essere la scelta migliore dato il vostro vincoli:

Piuttosto che definire un'espressione regolare corrispondenza hash maligni (/(javascript|src|onerror|%|<|>)/g), che definirei un normale espressioni corrispondenti all'hash del suono (ad es. /^[\w_-]*$/).

Evita errori falso-positivi (ad esempio src_records), chiarisce cosa è autorizzato e cosa non lo è e blocca meccanismi di iniezione più complessi.

Answer 2

Il problema è causato dal fatto che la stringa di input di jQuery può essere trattata come HTML, non solo come selettore.

Utilizzare nativo document.querySelector() anziché jQuery.

Se il supporto per IE7- è importante per voi, si può provare Sizzle motore di selezione che probabilmente, a differenza di jQuery e simile a nativa querySelector(), non interpreta stringa di input come qualcosa di diverso da un selettore.