JavascriptとXSS攻撃の防止

Question

私はjavascriptとxss攻撃のために私のWebサイトをxss-proofingしています。これは、ASP.NET Webformsで書かれています。

私がテストしたい主な部分は、テキストボックス（tinyMCEが付いている）を持つユーザーコントロールです。

ユーザーは、このテキストボックスに記事を投稿することで、記事をサイトに送信できます。 validateRequestをfalseに設定しなければならなかったので、私はHMTL（tinyMCE）でユーザーの話を聞きたいのです。

javascript-xss攻撃を防止するにはどうすればよいですか？ユーザーのストーリーはHMTLのテキストなので、自分の話にはServer.HtmlEncodeを使用できません。一般的に、ユーザーからHTMLコンテンツを受け取り、保存してユーザーに表示する安全な方法は何ですか？

1人のユーザーがテキストボックスに悪意のあるコードを入れて送信した場合、そのテキストを閲覧する他の人に害を及ぼす可能性はありますか？
ありがとうございます。

Answer 1

ユーザーがテキストボックスに入れたものをクリーンアップせずに提出すると、「はい」と表示されることがあります。

Microsoft Anti-Cross Site Scripting Libraryは、開発者がこのような攻撃を防ぐのに役立つように設計されています。

も見てみる価値はOWASPのCross-site Scripting (XSS)

あなたにもHttpUtility.HtmlEncodeとHttpUtility.HtmlDecodeに見たいと思うかもしれませんです。私は簡単なテストを書いて、それが（適切なフォーマットで他のユーザーにデータを表示する方法について）以下のコメントで、あなたの懸念に対処可能性があるように見えます：

string htmlString = "<b>This is a test string</b><script>alert(\"alert!\")</script> and some other text with markup <ol><li>1234235</li></ol>"; 

string encodedString = HttpUtility.HtmlEncode(htmlString); 
// result = &lt;b&gt;This is a test string&lt;/b&gt;&lt;script&gt;alert(&quot;alert!&quot;)&lt;/script&gt; and some other text with markup &lt;ol&gt;&lt;li&gt;1234235&lt;/li&gt;&lt;/ol&gt; 

string decodedString = HttpUtility.HtmlDecode(encodedString); 
// result = <b>This is a test string</b><script>alert("alert!")</script> and some other text with markup <ol><li>1234235</li></ol> 

ASP.NETコントロールとHTMLEncode 私はクラスから得た情報を投稿するつもりでしたが、（1.1と2.0の）全く同じものをリストしたリンクを見つけましたので、わかりやすくするためにリンクを投稿します。おそらくMSDNを見て、リストされていない特定のコントロール（または変更した場合は3.0/3.5/4.0バージョン）に関する詳細情報を得ることができますが、少なくともこれはクイックスタートガイドとして役立ちます。もっと情報が必要な場合は私に教えてください。

ASP.NET Controls Default HTML Encoding

ここでMSDNのブログの1からのより包括的なリストです：Which ASP.NET Controls Automatically Encodes?

Answer 2

私はその後、表示するときは、それをデコードした場合<でのみ<を置き換え、それはデータベースでエンコード保管して行くだろうあなたは他のものを保存する必要があると言います。

私の知る限りでは、あなたが交換する場合は任意のJSコードを実行する<script>タグ内でなければならないと交換することにより、あなたはHTMLソースでこれを買ってあげるよう< XSSは本当に不可能です： <script>とブラウザは<エンティティを解析するため、画面には<script>が表示されます。

これは、ユーザーが「生の」HTMLを投稿できるようにした場合です。

string[] allowedTags = new string[] { "a", "b", "img" }; 
foreach (allowedTag in allowedTags) 
    output = output.Replace("&lt;" + allowedTag, "<" + allowedTag); 

Answer 3

はあなたがOWASP guide on this

最善の方法を持っているだろう見たことがあります：<b>this section is bolded</b>は、あなたがして、手動で例えば適切なHTMLと<を置き換える許さタグの「ホワイトリスト」を作成する必要がありますすべてのスクリプトタグを防ぐ方法を考えようとするのではなく、許可されたタグのホワイトリスト。

これを行う方法の1つの解決方法はここにありますHow do I filter all HTML tags except a certain whitelist? しかし、自分のサーバーへのURLを持つ画像タグを介して外部スクリプトへのリンクがあるかもしれないことに気づく必要があります。ここにある例を参照してください。