`
pcajax
  • 浏览: 2157080 次
  • 性别: Icon_minigender_1
  • 来自: 上海
社区版块
存档分类
最新评论

XSS防范

JavaScriptASP.netASP脚本HTML 
阅读更多

一 简介

   Asp.net 1.1后默认提供了防范 XSS(跨站脚本攻击) 的能力, 如果发现有风险的html标签 系统会抛出一个
HttpRequestValidationExceptioin 异常,

二 使用

   1.可以设置 validateRequest=false 来禁用这个特性,
   2.可用如下方法捕获该错误并对其进行处理: [请切记关闭后需自行编辑代码处理危险字符]

以下是引用片段：
protected void Page_Error(object sender, EventArgs e)
{
Exception ex = Server.GetLastError();
if (ex is HttpRequestValidationException)
{
Response.Write("请您输入合法字符串。");
Server.ClearError(); // 如果不ClearError()这个异常会继续传到Application_Error()。
}
}

    3.自行编写代码处理危险字符可以采用 "默认禁止,显式允许"的策略。即先将输入用HtmlEncode()来编码,然后再用Replace()替换出安全标签

4.根据微软提供的建议，我们要慎重允许下列HTML标签，因为这些HTML标签都是有可能导致跨站脚本攻击的。

以下是引用片段：

  • <applet>
  • <body>
  • <embed>
  • <frame>
  • <script>
  • <frameset>
  • <html>
  • <iframe>
  • <img>
  • <style>
  • <layer>
  • <link>
  • <ilayer>
  • <meta>
  • <object>

    • 可能这里最让人不能理解的是<img>。但是，看过下列代码后，就应该明白其危险性了。

    以下是引用片段：
    <img src="javascript:alert(''hello'');">
    <img src="java script:alert(''hello'');">
    <img src="java script:alert(''hello'');">

    通过<img>标签是有可能导致Javascript执行的，这样攻击者就可以做他想伪装的任何事情。
    关于<style>也是一样：

    以下是引用片段：
    <style TYPE="text/javascript">...
    alert(''hello'');
    </style>

    分享到：
    | 无处不在的xss攻击
    评论
    发表评论

    您还没有登录,请您登录后再发表评论

    相关推荐

      web安全之XSS攻击及防御pdf

      ### Web安全之XSS攻击及防御 #### 一、XSS基本原理 ##### 1.1 什么是XSS 跨站脚本攻击(Cross-Site Scripting,简称XSS)是一种常见的Web应用程序安全漏洞，其形成原因主要是由于Web应用程序对用户输入的数据过滤不...

      XSS跨域攻击在web项目中的防范，基于antisamy技术

      2. XSS防范策略： - 输入验证：对所有用户输入进行严格的检查，拒绝不合法字符或格式。 - 输出编码：在将用户输入显示到页面之前，将其进行HTML实体编码，避免脚本被执行。 - 同源策略：限制浏览器只能访问同一源...

      XSS搭建教程以及源码,，免费分享给大家

      4. XSS防范策略： 防范XSS攻击的方法主要包括输入验证、输出编码、HTTP头部设置和使用Content Security Policy（CSP）。输入验证要求对所有用户提交的数据进行严格的检查，防止非法字符和脚本；输出编码则是将特殊...

      xss源码小游戏.rar

      四、XSS防范措施 1. 输入验证：对用户提交的数据进行严格的格式检查和内容过滤。 2. 输出编码：对所有用户可控制的输出内容进行HTML实体编码，防止脚本执行。 3. 启用HTTP头部的Content-Security-Policy：限制浏览器...

      XSS学习大全

      三、XSS防范措施 1. 输入验证：对用户提交的数据进行严格的过滤和转义，避免恶意脚本插入。 2. 输出编码：在显示用户数据时，应根据上下文使用适当的编码方式，如HTML实体编码、URL编码等。 3. 使用...

      XSS的攻击 与防范

      XSS的攻击与防范 XSS的攻击与防范

      防范XSS攻击程序

      对用户输入的所有数据进行拦截，检测是否含有XSS攻击关键字，如果存在XSS攻击关键字，对一些特殊字符，如：“&lt;”、“&gt;”、“&”等进行转义。 实现方案 自定义一个Filter拦截器，使用 Filter来过滤浏览器发出的...

      基于机器学习建模的 XSS 攻击防范检测.docx

      基于机器学习建模的 XSS 攻击防范检测.docx

      那些年我们一起学XSS.doc

      学习XSS防范策略是每个Web开发者的重要任务，包括但不限于： - 输入验证：对用户输入的数据进行严格的过滤和转义。 - 输出编码：在向HTML输出数据时，确保正确编码以防止代码执行。 - 使用Content-Security-Policy...

      防范json xss的方法 - 黑白网络

      防范json xss的方法 - 黑白网络 防范json xss的方法 - 黑白网络

      XSS跨站脚本攻击在Java开发中防范的方法

      ### XSS跨站脚本攻击在Java开发中的防范方法 #### XSS攻击原理与分类 XSS（Cross-Site Scripting）跨站脚本攻击是一种常见的安全威胁，它利用Web应用程序的安全漏洞，将恶意脚本注入到合法的网页中，进而攻击最终...

      jeethink快速开发框架后台管理系统（工作流版）.zip

       对常用js插件进行二次封装，使js代码变得简洁，更加易维护  完善的XSS防范及脚本过滤，彻底杜绝XSS攻击  Maven多项目依赖，模块及插件分项目，尽量松耦合，方便模块升级、增减模块。  国际化支持，服务端...

      微信小程序商城源代码

      全部源代码，包含java后台代码，小程序... 完善的XSS防范及脚本过滤，彻底杜绝XSS攻击 日志分级输出，便于分析日志 前端使用Vue+iView，上手容易 后台演示地址 https://wuyuliang.xyz/platform-framework/login.html

      spring boot xss防御

      在Spring Boot应用中，XSS（Cross Site Scripting，跨站脚本攻击）是一种常见的安全威胁，它允许攻击者向Web页面注入恶意脚本，从而影响用户的安全。本项目"spring boot xss防御"旨在介绍如何在Spring Boot环境中...

      XSS 跨站脚本攻击及防范

      防范XSS攻击的主要措施包括： 1. 对用户输入进行严格的过滤和转义，避免将未经过滤的数据直接显示在页面上。 2. 使用HTTP头部的安全策略，如Content-Security-Policy，限制浏览器只能执行指定来源的脚本。 3. 使用...

      XSS的攻击与防范2

      XSS的攻击与防范2 XSS的攻击与防范2

      XSS检测防范技术与实例研究.pdf

      【XSS（跨站脚本攻击）检测防范技术与实例研究】 XSS（Cross Site Scripting）是一种常见的网络安全漏洞，允许攻击者通过注入恶意脚本到网页中，从而影响用户浏览器的行为。这种攻击通常发生在网站未能正确处理用户...

      XSS漏洞扫描 XSS漏洞扫描

      XSS漏洞分为三种类型：反射型XSS、存储型XSS和DOM型XSS，每种都有其独特的攻击方式和防范策略。 1. 反射型XSS（Non-Persistent XSS）： 这是最常见的XSS类型，通常发生在URL参数中。攻击者通过构造带有恶意脚本的...

      企业后台管理系统.zip

      完善的XSS防范及脚本过滤，彻底杜绝XSS攻击 支持多家存储服务，如：本地上传、Minio、阿里云、腾讯云、七牛云、华为云等 支持多家短信发送服务，如：阿里云、腾讯云、七牛云、华为云等 支持swagger文档，方便编写API...

      java快速开发平台，springboot 前后端开发框架vue 适用于制造业，物料行业、零售等，一般企业开发业务java平台

      完善的XSS防范及脚本过滤，彻底杜绝XSS攻击 Maven多项目依赖，模块及插件分项目，尽量松耦合，方便模块升级、增减模块。 国际化支持，服务端及客户端支持 完善的日志记录体系简单注解即可实现 支持服务监控，数据...

    Magicbox
    Global site tag (gtag.js) - Google Analytics