16赞

AntiSamy允许编码脚本警报通过？怎么阻止？

作者：手机用户2402852387 | 2023-07-03 10:42

如何解决《AntiSamy允许编码脚本警报通过？怎么阻止？》经验，为你挑选了1个好方法。

我正在使用AntiSamy和可用的antisamy-1.4.1.xml策略.该政策正在很好地阻止大多数受到攻击的XSS,但以下内容未被阻止.有关如何阻止以下内容以防止XSS攻击的任何建议？

1234%27%2Balert%2873918%29%2B%27

谢谢

1> bobince..：

Antisamy是一个HTML内容过滤器,用于允许不受信任的用户输入有限的"安全"HTML子集.它不是一个通用的输入过滤器,可以使您不必考虑字符串转义和XSS问题.

您应该仅使用antisamy来清理包含您希望在页面上逐字输出的HTML的内容.大多数用户输入通常不是HTML:当用户键入时ad,通常应该使用小于和大于字符的文字,而不是粗体标记.为了确保正确发生这种情况,您必须对输出阶段插入页面的所有文本内容进行HTML转义,而不是与antisamy有关.

1234%27%2Balert%2873918%29%2B%27

这看起来不像典型的HTML注入攻击.它包含的唯一"特殊"字符是撇号,它通常在HTML中不常用,并且实际上不能从输入中过滤掉,因为用户通常需要使用撇号来用英语书写.

如果这会导致您的应用程序进行脚本注入,那么您遇到的问题比任何反犹主义都可以解决的问题更严重.如果这导致您的页面弹出alert()对话框,您可能正在使用JavaScript字符串文字中未转义的值,例如:

将文本内容作为字符串文字放入JavaScript代码中需要另一种形式的转义; 一个将'角色(%27在URL编码的输入中)转换为反斜杠转义\',并将\其自身转换为\\(以及一些其他替换).

从服务器端脚本语言到JavaScript文字获取值(字符串或其他)的简单方法是使用标准JSON编码器.

但是,在上面的例子中,JavaScript字符串文字本身包含在HTML属性中,因此您必须对JSON编码器的结果进行HTML 编码.这有点难看; 最好避免使用内联事件处理程序属性.使用外部脚本和(或者,通常是任何开头的,可以结束块的).要避免该序列,您应该<用其他东西替换该字符,例如.\x3C.一些JSON编码器可能有一个选项来为您节省麻烦.
在许多其他地方,将内容插入包含语言需要特殊的编码类型.每个都有自己的规则.使用通用输入过滤器无法避免字符串编码的困难.一些"反XSS"过滤器尝试,但它们总是失败地失败. 很好的答案.特别喜欢"如果这会导致您的应用程序出现脚本注入,那么您遇到的问题要比任何反犹太法案都能解决的问题大得多." 大+1.

推荐阅读程序员使用NSNotificationCenter时,ARC无法正常工作如何解决《使用NSNotificationCenter时,ARC无法正常工作》经验，为你挑选了1个好方法。 ... [详细] 程序员找不到谷歌地图片段如何解决《找不到谷歌地图片段》经验，为你挑选了1个好方法。 ... [详细] 程序员为什么Spring的@Transactional不能用于受保护的方法？如何解决《为什么Spring的@Transactional不能用于受保护的方法？》经验，为你挑选了2个好方法。 ... [详细] 程序员 Kivy FileChooser:仅列出目录如何解决《KivyFileChooser:仅列出目录》经验，为你挑选了1个好方法。 ... [详细] 程序员编译器错误模板参数列表<比较如何解决《编译器错误模板参数列表<比较》经验，为你挑选了0个好方法。 ... [详细] 程序员如何更改Spinner下拉项目的文本颜色？如何解决《如何更改Spinner下拉项目的文本颜色？》经验，为你挑选了1个好方法。 ... [详细] 程序员更改蜂巢表添加或删除列如何解决《更改蜂巢表添加或删除列》经验，为你挑选了2个好方法。 ... [详细] 程序员 dnx项目启动错误 - dnx设计时间过程.无法建立联系如何解决《dnx项目启动错误-dnx设计时间过程.无法建立联系》经验，为你挑选了1个好方法。 ... [详细] 程序员 N-child组合跳过2然后选择3 如何解决《N-child组合跳过2然后选择3》经验，为你挑选了2个好方法。 ... [详细] 程序员尝试使用不支持这些操作的事务管理器进行更新或删除如何解决《尝试使用不支持这些操作的事务管理器进行更新或删除》经验，为你挑选了1个好方法。 ... [详细] 程序员如何在xib上设置静态UITableview？如何解决《如何在xib上设置静态UITableview？》经验，为你挑选了1个好方法。 ... [详细] 程序员获取R中表函数中唯一行的总和如何解决《获取R中表函数中唯一行的总和》经验，为你挑选了1个好方法。 ... [详细] 程序员将自定义Javascript添加到Prestashop 如何解决《将自定义Javascript添加到Prestashop》经验，为你挑选了1个好方法。 ... [详细] 程序员 Docker官方注册表(Docker Hub)URL 如何解决《Docker官方注册表(DockerHub)URL》经验，为你挑选了3个好方法。 ... [详细] 程序员使用AWS服务调度长时间运行的任务如何解决《使用AWS服务调度长时间运行的任务》经验，为你挑选了1个好方法。 ... [详细] 程序员 Nodejs与promise平行如何解决《Nodejs与promise平行》经验，为你挑选了1个好方法。 ... [详细] 程序员在KDB中查找以分钟为单位的日期时差如何解决《在KDB中查找以分钟为单位的日期时差》经验，为你挑选了1个好方法。 ... [详细] 程序员在Artifactory用户插件中获取文件内容如何解决《在Artifactory用户插件中获取文件内容》经验，为你挑选了1个好方法。 ... [详细] 程序员无法在heroku django中导入名称_uuid_generate_random 如何解决《无法在herokudjango中导入名称_uuid_generate_random》经验，为你挑选了2个好方法。 ... [详细] 程序员在匿名类中声明枚举如何解决《在匿名类中声明枚举》经验，为你挑选了1个好方法。 ... [详细] 吐了个 "CAO" ! 吐个槽吧,看都看了会员登录 | 用户注册

手机用户2402852387 这个屌丝很懒，什么也没留下！关注作者 Tags | 热门标签 actionscrip bash c# c++ c语言 erlang flutter go golang java javascript lua node.js perl php python scala typescript RankList | 热门文章 1Pyspark RDD首先收集163排 2Android蓝牙低功耗代码兼容API> = 21 AND API <21 3如何在python中获取SQL查询的表列名/标题 4如何在Python的scikit-learn中访问树深度？ 5Linq反向字符串c# 6如何匹配Rust宏中表达式的类型？ 7Python:只保留字符串中的字母 8如何在石墨/ grafana中查询"all but one" 9如果bool数组中的所有元素都为真？ 10如何删除字符串末尾的换行符？ 11XPages REST服务和外部系统身份验证 12为什么redux建议只连接到顶级组件？ 13php -l:抑制有效文件的输出 14我可以将ionic serve设置为默认不打开浏览器吗？ 15是否可以将perror()生成的消息发送到/ var/log/syslog？ 16Django:自定义用户模型的返回字段 17免费滚动粘贴侧边栏没有jQuery 18python 2.7 windows silent installer(.msi) - 命令行选项设置路径？ 19Haskell - 构造如何从Monad调用失败函数？ 20安装了sympy,但是没有找到sympy.mpmath