En una aplicación de rieles, los usuarios pueden crear eventos y publicar una url para vincular al sitio de evento externo.Sanitización de URL para evitar XSS en Rails
¿Cómo desinfecciono las URL para evitar enlaces XSS?
Gracias de antemano,
ejemplo de XSS, que no se puede prevenir mediante el método de higienización
@url = "javascript:alert('XSS')"
<a href="<%=sanitize @url%>">test link</a>
Intenta desinfectar una vez que el href ya está en una etiqueta como:
url = "javascript:alert('XSS')"
sanitize link_to('xss link', url)
Esto me da:
<a>xss link</a>
Esta vulnerabilidad se ha fijado desde 3.2.13, 3.1.12, 2.3. 18.
El siguiente enlace también proporciona un parche que puede usar en versiones anteriores.
https://groups.google.com/forum/#!msg/rubyonrails-security/zAAU7vGTPvI/1vZDWXqBuXgJ
sanitize funciona con cadenas HTML, no en las direcciones URL. lo que significa que no puede desinfectar una URL, pero puede desinfectar una parte de html que tiene un enlace con una URL maliciosa. por ejemplo
<%= sanitize "<a href='#{@url}'>Things</a>" %>
que limpiará su enlace de todos los atributos maliciosos conocidos
@url = "javascript: alert ('XSS')" xss link no funciona. Debería reflejar en mi pregunta que ya he probado el método de esterilización de los rieles. – rickypai
La gema desinfectante de rgrove es realmente agradable si necesita más control del que le da la sanitización Rails incorporada. De cualquier manera, como señala la respuesta de Ben, debe desinfectar el html para todo el enlace, no solo la URL en sí. – antinome