Cross Site Scripting (XSS): ¿Necesito escapar del ampersand?

Question

Quiero escapar para XSS en un contexto html, y hasta ahora trato los <,> y los caracteres. Aparentemente también se recomienda escapar del ampersand, pero ¿por qué? (Aparte de mantener el html válido , vamos a suponer que esto no es un problema)

Así que lo que estoy preguntando es: Cuando me escape <,> y", alguien puede demostrar cómo el signo todavía puede permitir un ataque XSS en un contexto html?

¡Salud!

Answer 1

Realmente deberías echarle un vistazo en la Hoja de referencia de prevención de OWASP XSS.

Debe escapar & porque puede usarse para eludir otras defensas. Considere este código:.

<button onclick="confirm('Do you really want to delete <%= data_from_user; %> ?'">Delete</button> 

Para defenderse de XSS en el interior del controlador de eventos onclick, el desarrollador se escapa',", < y> en data_from_user y piensa que todo está bien, el problema es que si los tipos atacante ' la que pasa el escape, pero termina permitiendo que el atacante ejecutar javascript

Ejemplo aquí:.. http://erlend.oftedal.no/blog/?blogid=124

Última pregunta

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 Cuestiones relacionadas

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.