0

ユーザーが自分のサイトにリンク付きの画像を設定できるようにします。例：プロフィール写真とプロフィールリンク。

私は彼らにその画像をアップロードさせませんが、私がimgsrcに挿入するURLを彼らに与えさせます。

誰かが私のサイトを使用する可能性のある最もよく知られているxssパターンの基本的なチェックを行いたいのですが、機能が動作することをチェックするためのサンプルのリストがありません。現状では、URLのあらゆる側面をチェックするために完全なRFC準拠のパーサーを作成したとしても、何を防ぐべきかはわかりません。

4

2 に答える 2

1

私は次のことをします

  • URIがhttp：//またはhttps：//で始まることを確認してください
  • URIは、imgsrcに出力する前にURIをエンコードします。

1つ目は、javascript：、vbscript：などが許可されていないことを確認することです。URLが許可されます。2つ目は、ダメージを与える可能性のあるキャラクター（ "、'、<、>など）をエスケープすることです。

少し古いですが、それでもパターンの優れたリソース：http: //ha.ckers.org/xss.html もう1つの優れたリソース： http： //html5sec.org

于 2012-09-01T06:41:34.217 に答える
1

OWASP Zed Attack Proxy（ZAP）を使用してスキャンします。

ZAPは無料のオープンソースセキュリティツールであり、XSSの脆弱性を見つけるのに非常に優れています。

サイモン（ZAPプロジェクトリーダー）

于 2012-09-02T07:55:29.800 に答える