Prevenzione XSS (Cross-site Scripting)

Question

Supponiamo di avere una semplice applicazione blog ASP.NET MVC e voglio consentire ai lettori di aggiungere commenti a un post sul blog. Se voglio evitare qualsiasi tipo di shenanigans XSS, potrei codificare tutti i commenti in HTML in modo che diventino innocui durante il rendering. Tuttavia, che cosa succede se volevo delle funzionalità di base come collegamenti ipertestuali, grassetto, corsivo, ecc.?

So che StackOverflow utilizza il WMD Markdown Editor, che sembra una grande scelta per quello che sto cercando di realizzare, se non per il fatto che supporta sia HTML e Markdown che leaves it open to XSS attacks.

Answer 1

Se non si desidera utilizzare un editor, è possibile considerare OWASP's AntiSamy.

È possibile eseguire un esempio qui: http://www.antisamy.net/

Answer 2

Quanto HTML hai intenzione di supportare? Solo grassetto/corsivo/le cose di base? In tal caso, puoi convertirli in sintassi markdown e quindi rimuovere il resto dell'HTML.

Lo spogliamento deve essere eseguito sul lato server, prima di memorizzarlo. È necessario convalidare l'input anche sul server, quando si cerca la vulnerabilità di SQL e altre cose indesiderate.

Answer 3

Suggerisco di inviare solo la sintassi del markdown. Sul front-end, il client può digitare markdown e avere un'anteprima HTML (come SO), ma solo inviare la sintassi markdown sul lato server. Quindi puoi convalidarlo, generare l'HTML, scapparlo e memorizzarlo.

Credo che sia il modo in cui la maggior parte di noi lo fa. In entrambi i casi, markdown è lì per alleviare chiunque dalla scrittura di codice HTML strutturato e dare potere a coloro che non saprebbero nemmeno come.

Se c'è qualcosa di specifico che ti piacerebbe fare con l'HTML, puoi modificarlo con l'ereditarietà CSS '.comment a {color: # F0F; } ', front-end JS o semplicemente attraversa il codice HTML generato dall'analisi del markdown prima di memorizzarlo.

Answer 4

Perché non usi il codice di Jeff? http://refactormycode.com/codes/333-sanitize-html

Answer 5

È possibile utilizzare una whitelist HTML in modo che alcuni tag possano ancora essere utilizzati, ma tutto il resto è bloccato.

Ci sono strumenti che possono farlo per voi. SO utilizza the code che Slough linked.

Answer 6

Voterò per lo FCKEditor ma è necessario eseguire un po 'di extra steps sull'output restituito too.

Answer 7

Se avete bisogno di farlo nel browser: http://code.google.com/p/google-caja/wiki/JsHtmlSanitizer