出现XSS漏洞，如何解决？ [关闭]

Question

我在我们的应用程序中遇到了安全问题。我不明白下面的问题，请任何人告诉我，它是什么以及如何解决这个通用问题？如何使用安全相关工具扫描网站？

线程 – 当 Web 应用程序在发送到 Web 浏览器的 HTML 响应中回显用户提供的数据时，就会出现 XSS 漏洞。例如，Web 应用程序可能包括用户名作为欢迎消息的一部分，或者在确认运输目的地时显示家庭地址。如果用户提供的数据包含被解释为 HTML 元素的一部分而不是文字文本的字符，那么攻击者可以修改受害者的 Web 浏览器接收到的 HTML。

例如：http://mydomain/Products.aspx?category=%22%20onEvent%3dX151232644Y1Z%20&name=Healthcare

Answer 1

您可以在 Web 应用程序中使用 AntiXSS。

教程

http://haacked.com/archive/2010/04/06/using-antixss-as-the-default-encoder-for-asp-net.aspx

http://msdn.microsoft.com/en-us/security/aa973814

有用的工具

Microsoft Web 保护库 http://wpl.codeplex.com/

利用 XSS

http://msdn.microsoft.com/en-us/library/aa973813.aspx

http://www.cgisecurity.com/xss-faq.html

防止XSS的基本方法

输入 --> 反 SQL 注入 --> 存储在数据库中 --> 反 XSS --> 输出

Answer 2

OWASP 在他们的“XSS (Cross Site Scripting) Prevention Cheatsheet”中详细介绍了该主题。