Deshabilitar la ejecución de JavaScript en páginas específicas (HTML/PHP)

Question

¿Hay algún encabezado HTTP para deshabilitar Javascript para una página específica? Mi sitio web ofrece contenido HTML generado por el usuario (es por eso que no puedo usar htmlenitities) y me gustaría evitar la creación de scripts (inyecciones de JavaScript).

Ya utilizo HttpOnly-cookies para autenticación en el dominio principal solamente, mientras que el contenido del usuario solo se muestra en subdominios donde la cookie no se puede leer. El problema es que todavía hay demasiadas posibilidades para ejecutar JavaScript, por ejemplo, usando atributos de eventos como onclick e Internet Explorer tiene incluso una propiedad en CSS para permitir ejecuciones de JavaScript (expression) de las que nunca antes había oído hablar. Otra idea interesante de la que he leído, fue acerca de lanzar una excepción para bloquear el siguiente código. Una idea más sería definir una lista que contenga todas las etiquetas permitidas y, además, una matriz con cada nombre de atributo permitido, pero este es un trabajo muy difícil y supongo que esto no cubriría todas las posibles inyecciones.

Supongo que no soy la única persona que tiene este problema, por lo que alguien sabe una posibilidad que cubre todo posible código dañino, al menos en los navegadores modernos?

Un simple encabezado imaginario similar a X-Scripting: disabled haría la vida mucho más fácil!

Answer 1

Sí, hay un encabezado HTTP experimental llamado Content Security Policy que le permite controlar de dónde viene JavaScript, lo que puede hacer que XSS sea imposible. Sin embargo, actualmente solo es compatible con Chrome y Firefox.

Es una buena idea activar HTTPOnly-cookies, sin embargo esto evitará exactamente CERO ataques. Aún puede explotar XSS por reading CSRF tokens, and carrying out requests with an XHR.

Existen muchas formas de obtener XSS, y un escáner de vulnerabilidades como ShieldSeal encontrará (casi) todas ellas. Skipfish es un escáner de vulnerabilidad de código abierto que es muy primitivo, pero es gratuito. Así es como la mayoría de las aplicaciones web manejan vulnerabilidades ampliamente extendidas. (Trabajo para SheildSeal y ayudo a construir su escáner de vulnerabilidades y me encanta mi trabajo.)

Cuando se encuentra un problema, debe usar htmlspecialchars($var) o htmlspecialchars($var,ENT_QUOTES) para desinfectar la entrada. ENT_QUOTES puede evitar que un atacante introduzca un onclick u otro evento de JavaScript.