PCI 合规性的资源/服务？修复“类别参数中的跨站脚本漏洞”漏洞？

Question

一家审计公司表示我们不符合 PCI 标准，但提供了有关如何解决问题的无益说明。他们显然希望我们与他们的咨询部门合作。

在收到 PCI 合规性审计警报后，您使用了哪些资源/服务来填补空白？

是否有网站提供有关解决 PCI 合规性问题的有用资源？

例如，这是我们被标记的神秘失败消息之一：

“描述：URL X 的类别参数中的跨站脚本漏洞”

但是对于如何关闭这个漏洞没有明确的指导。

谢谢。

Answer 1

他们是说哪个 URL 导致了漏洞，还是字面上的“X”？

检查以确保没有任何用户输入或从 URL 中获取的输入显示在页面上的任何位置（或在您的 javascript 中使用）而未经适当清理。

如果您发布 URL，我相信这里的人们会很乐意寻找漏洞。

[在您发布 URL 后编辑：]

这是显示漏洞的格式错误请求的链接：

http://www.cengraving.com/s/category?category=Outdoor+signs+'-'alert("Cross%20Site%20Scripting%20Vulnerability%20Here");

防止这种攻击的一种方法是验证所有用户输入。

客户端您可以删除任何可疑字符，例如 '"-

在将有效查询输入数据库之前，您应该使用正则表达式将有效查询列入白名单。