Proteger mi ser de cross-site scripting

Question

he implementado un Request.QueryString["somestr"].ToString();

que suprimir este tipo de ataque haciendo HttpUtility.HtmlEncode(Request.QueryString["somestr"].ToString();

todavía tengo un problema por el que un usuario puede hacer:

myfriendlydomain.com /? somestr = '; alerta (WOO XSS SUCCEDED); test ='

¿Cómo puedo evitar que esto suceda?

conforme a lo solicitado:

//Code Behind 
if(request.querystring["somestr"] != null) 
{ 
    AffiliatesEmail = HttpUtility.HtmlEncode(Request.QueryString["somestr"].ToString();  
} 

//Front End 
<script type="text/javascript"> 
    //<![CDATA[ 
    /*** Do not change ***/ 
    var SomeVAR = {}; 
    SomeVAR.Tracking.Sale.orderRef = '<%= AffiliatesEmail %>'; 
    //]]> 
</script> 

<script src="https://www.somethirdparty.com/somejscript.js" type="text/javascript" defer="defer"> </script> 

Ésta es nuestra aplicación. Cualquier cosa posterior que no creo es relevante.

Answer 1

Puede usar el JavaScriptStringEncode() Method para borrar la cadena y codificarla para evitar que esto suceda.

Otra forma es utilizar la biblioteca AntiXSS.

Answer 2

Necesita validar cada entrada de la cadena de consulta para asegurarse de tener datos válidos entrando. Tampoco escribiría el valor directamente en una página.

Answer 3

Al conocer el contexto en el que está utilizando la cadena AffiliatesEmail, es útil saber cuán exhaustivo debe ser para validar y desinfectar la cadena.

Digamos, por ejemplo, que sabemos que AffiliatesEmail solo era válido si era numérico. De esta forma, estarás protegido si rechazaste cualquier Request.QueryString["somestr"] que no valide como número.

Ahora, sospecho que AffiliatesEmail se supone que es una dirección de correo electrónico válida.

Usando este conocimiento, ahora podemos validarlo como una dirección de correo electrónico y rechazar todo lo demás:

using System.Net.Mail; 
try 
{  
    MailAddress ma = new MailAddress(AffiliatesEmail); 
} 
catch (FormatException fe) 
{ 
    //Email isn't valid, so don't output it to the client!!! 
} 

El código anterior simplemente valida si la cadena es una dirección de correo electrónico (según la definición de .NET) - si no lo es, entonces no tenemos que preocuparnos por lo que es, porque simplemente no confiamos en él.

Así que no se obsesione demasiado con la santificación de todo lo que se pone en la cadena de consulta, simplemente conociendo los límites de lo que es aceptable, puede evitar expresiones regulares complejas y rutinas de limpieza XSS.