Cross Site Scripting (XSS): Devo uscire dalla e commerciale?

Question

Voglio eseguire l'escape per XSS in un contesto html e finora considero i caratteri ,> e " Apparentemente si consiglia di evitare anche la e commerciale, ma perché? (Oltre a mantenere valido l'html , supponiamo che questo non è un problema)

Quindi quello che chiedo è: quando scappo <,> e", qualcuno può dimostrare come la e commerciale può ancora consentire un attacco XSS in un contesto HTML?

Cheers!

Answer 1

Si dovrebbe davvero dare un'occhiata alla scheda Cheat di Prevenzione XSS di OWASP.

Si dovrebbe scappare & perché può essere usato per aggirare altre difese. Considerate questo codice:.

<button onclick="confirm('Do you really want to delete <%= data_from_user; %> ?'">Delete</button> 

Per difendersi contro XSS all'interno del gestore di eventi onclick, lo sviluppatore sfugge',", < e> in data_from_user e pensa che tutto è ok Il problema è che se i tipi di attaccante ' che passa la fuga, ma finisce permettendo al malintenzionato di eseguire javascript

Esempio qui:.. http://erlend.oftedal.no/blog/?blogid=124

Ultima domanda

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 Problemi correlati

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.