Prevención XSS. Manejar <script es suficiente?

Question

Me preguntaba si comprobar y eliminar "<script" de los campos de entrada de texto sería suficiente para detener los ataques de inyección de código JavaScript?

Answer 1

Desafortunadamente no, hay una variedad de ataques disponibles, por ejemplo, la ejecución de JavaScript a través del elemento <img> también. Recomiendo usar una biblioteca XSS para cualquier plataforma que esté en el servidor.

He aquí un ejemplo de lo que quiero decir:

<img src="javascript:alert('hi');"> 
<input type="image" src="javascript:alert('hi');"> 

... no esos ejemplos en sí son inofensivos, pero ver cómo hay otras maneras de ejecutar JavaScript. Qué exploits funcionan depende del navegador, pero ten en cuenta que existen otros métodos.

Answer 2

Además de los mencionados por Nick, también debe estar en el puesto de observación para los eventos de JavaScript, tales como: "onload", "onclick", ...

Answer 3

myspace fue cortado debido a las expresiones CSS . La lista negra no funciona, la lista blanca es la única ruta.

Answer 4

No, el bloqueo de casos específicos no es suficiente - tarde o temprano, alguien presentará un caso artificial en el que no haya pensado.

Consulte este list of XSS attacks para conocer los más comunes (otros, aún más exóticos, pueden existir). Necesita incluir en la lista blanca la sintaxis permitida en lugar de suponer que todo lo que esté al lado de los vectores conocidos debería estar bien.

Answer 5

Depende también de lo que esté haciendo con la entrada. Aquí está un ejemplo simplificado que encontré en un sitio web real de algún servicio de tarjeta de felicitación:

Contenía un campo de selección con el que se haya podido seleccionar el color del texto:

<select name="color"> 
    <option value="red">Red</option> 
    <option value="green">Green</option> 
    <option value="blue">Blue</option> 
</select> 

se utilizó el valor sin filtro en la página de la tarjeta de felicitación. Por lo que es fácil de manipular los datos POST enviados, y cambiar

color=red 

a algo así como

color=red%22+onload%3D%22alert(%27foo%27) 

lo que resultaría en

<font color="red" onload="alert('foo')"> 

en lugar de <font color="red">.

---

Así que el punto no es la confianza ninguna intervención del usuario, ni siquiera los valores predefinidos que defina.

Answer 6

<s<scriptcript después de una eliminación se convierte en <script.

Si bloquea eso, hay muchos otros. Es mucho más simple y más correcto para escapar (no eliminar) todas las ocurrencias <, " y &.