問題タブ [xss]

現在、従来の ASP アプリケーションを XSS から保護しようとしています。ネットで Microsoft の AntiXSS を見つけましたが、これは従来のアプリケーションで動作するのでしょうか?

そうでない場合、弦を消毒する方法を教えてください。

私は常に、フォーラムやブログのような Web ソフトウェアを作成することに興味を持っていました。これは、限定的なマークアップを使用して HTML に書き直すものです。しかし最近、PHP について、「PHP BBCode parser -PEAR」をググってみて、いくつか試してみると、非効率的な混乱が生じるか、あちこちに XSS ホールのある貧弱なコードが得られることにますます気づきました。

前述の貧弱な BBCode パーサーの例を挙げると、どのように XSS を回避しますか? リンクを処理するための典型的な正規表現を取り上げます。リンクの脆弱性と回避方法について言及できます。

画像タグの処理は、これほど安全ではありません。

そのため、主に PHP の実装に固有の質問がいくつかあります。

1. この例では、uri/url 検証式を使用してのみ一致させることをお勧めしますか? または、コールバックを使用(.*?)してから、入力が有効なリンクかどうかを確認する方がよいでしょうか? 上記で明らかなようにjavascript:alert('XSS!')、上記の URL タグでは機能しますが、URI マッチングが行われると失敗します。
2. コールバック内のような関数はどうurlencode()ですか? (URI 標準に関する限り) 抑止力や問題になりますか?
3. フルスタック パーサーを作成する方が安全でしょうか? それとも、そのようなものを開発して使用するために必要な時間と処理能力は、ページごとに複数の異なるエントリを処理するものには重すぎますか?

私の例は多くの例の 1 つであり、いくつかの例よりも具体的であることはわかっています。ただし、独自のものを提供することをためらわないでください。 そこで、テキスト解析状況における XSS 保護の原則とベスト プラクティス、および一般的な推奨事項を探しています。

KohanaとCodeigniterの両方がありencode_php_tags()ます。XSS クリーニング (Javascript の場合) は理解していますが、いつ、どのような理由で を使用しencode_php_tags()ますか? セキュリティ上の脅威とは?

XSS 攻撃を防ぐために文字列のエンコードを検討しています。現在、ホワイトリスト アプローチを使用したいと考えています。ホワイトリスト外の文字はすべてエンコードされます。現在、「(」のようなものを代わりに「(」を出力しています。私たちが知る限り、これでほとんどの XSS を防ぐことができます。

問題は、私たちには多くの国際的なユーザーがいて、サイト全体が日本語の場合、エンコーディングが帯域幅を大量に消費することです. 基本的な ASCII セット外の文字は脆弱性ではなく、エンコードする必要がない、またはエンコードする必要がある ASCII セット外の文字があると言って差し支えありませんか?

とにかく、プロキシ ハッキング、JSONP、Flash、またはブラウザのセキュリティ変更なしで、2 つの独自のドメイン間で AJAX を許可する場合は? 多分SSLか何か？

Twitterのような有名なサイトでさえXSSの脆弱性に苦しんでいますが、この種の攻撃を防ぐために何をすべきでしょうか？

Struts アプリケーションにアンチ XSS サポートを追加する必要があります。最も具体的には、アーキテクトは、DB に保存する前に、すべてのユーザー入力を「サニタイズ」する必要があります。四角い車輪を再発明したくないので、これにはどの Java ライブラリを使用できますか? そして、どこに置くのですか？理想的には、構成可能 (すべての入力フィールドではなく、どの入力フィールドをチェックするか) で高速である必要があります。私の最初の考えは、Struts Validator です。

前もってありがとうルイス