security - アンチ XSS およびクラシック ASP

Question

現在、従来の ASP アプリケーションを XSS から保護しようとしています。ネットで Microsoft の AntiXSS を見つけましたが、これは従来のアプリケーションで動作するのでしょうか?

そうでない場合、弦を消毒する方法を教えてください。

score 18 · Accepted Answer

文字列をサニタイズするには、すべての出力を HTML エンコードします。そうすれば、特殊文字や巨大な正規表現をいじる必要がなくなります。

Server.HTMLEncode(string)

クロスサイトスクリプティング攻撃を防ぐための最も重要な 2 つの対策は次のとおりです。

入力を制限します。
出力をエンコードします。

方法: ASP.NET でのクロスサイトスクリプティングの防止(私は古典的な ASP ではないことを知っていますが、同様の原則があります)

score 2 · Accepted Answer

従来の ASP に関数が存在しない場合は、関数を記述します。

score 1 · Accepted Answer

（現在のプロジェクトで行っているように）特定のHTMLタグを許可する必要がある場合は、正規表現を使用してそれらのタグのみを許可し、他のタグは許可しないようにすることができます。

set objRegExp = new RegExp
with objRegExp
    .Pattern = "<^((b)|(i)|(em)|(strong)|(br))>.*</.*>"
    .IgnoreCase = varIgnoreCase
    .Global = True
end with
cleanString = objRegExp.replace(originalString, "")

score 0 · Accepted Answer

簡単ではありません-COM呼び出し可能なラッパーを作成し、サーバーにインストールする必要があります.「クラシック」ASPには適していないと思います.

score -1 · Accepted Answer

-1

<% 
Response.AddHeader "X-XSS-Protection", "1" 
%>

于 2015-07-28T14:40:42.380 に答える

security - アンチ XSS およびクラシック ASP

5 に答える 5

Related

Reference