Как сделать параметр классического ASP querystring не проходить код. Проблема безопасности

Question

У меня есть страница Классический ASP (как ниже),

/Test.asp?url="%0a%0dmsgbox("Test%20XSS")%0a%0ddim%20test%0a%0dtest=" 

Мы передаем URL в качестве запроса string.But, когда мы проезжаем выше параметр, он отображает сообщение (из-за MsgBox) перед страница загружается.

Есть ли способ остановить выполнение скрипта в параметре запроса? защитите строку запроса.

Заранее благодарим за помощь.

Answer 1

Если вы выводили на HTML, используйте Server.HTMLEncode.

<%=Server.HTMLEncode(Request.QueryString("url")) %> 

Однако, похоже, вы выводите на JavaScript.

Лучшим способом было бы не делать этого. See my question and the answer here, но в основном используют data- атрибуты, так что вы можете использовать код, приведенный выше, а затем выловить значение с помощью JavaScript:

<div id="dataExample" data-url="<%=Server.HTMLEncode(Request.QueryString("url")) %>" /> 

Отъезд OWASP XSS (Cross Site Scripting) Prevention Cheat Sheet для получения дополнительной информации. У этого также есть другой способ сделать это, но он намного более сложный, который всегда обратный к безопасности. Это включает кодирование с использованием формата \x00. Однако, поскольку это связано с написанием какого-либо пользовательского кода, это означает, что вы не можете полагаться на какие-либо встроенные функции, что означает, что он подвержен ошибкам. Я бы очень рекомендовал подход HTML.