<%: %> माइक्रोसॉफ्ट बनाम एंटी एक्सएसएस लाइब्रेरी

Question

.NET 4 के साथ एक नया <%:%> स्क्रिप्ट संलग्नक <% =%> जैसा है लेकिन एक HTML एन्कोड करता है। लोग इस नए वाक्यविन्यास के उपयोग को प्रोत्साहित कर रहे हैं।

मेरा प्रश्न है, <%:%> XSS के खिलाफ बेहतर या साथ ही साथ Microsoft Anti XSS लाइब्रेरी का उपयोग कर सुरक्षित है?

एक माइक्रोसॉफ्ट सुरक्षा व्यक्ति ने एक बार मुझे कभी भी HTML एनकोड का उपयोग करने के लिए कहा क्योंकि यह बहुत अच्छी तरह से सुरक्षा नहीं करता है और मुझे हमेशा एंटी एक्सएसएस लाइब्रेरी (या दूसरी लाइब्रेरी) का उपयोग करना चाहिए। क्या यह अभी भी <%:%> के साथ सच है? या क्या मैं आत्मविश्वास से <% का उपयोग कर सकता हूं:%> यह जानकर कि यह एक्सएसएस से मेरे ऐप की रक्षा करने जा रहा है जैसे लोग कह रहे हैं?

Answer 1

HttpUtility.HtmlEncode एक काली सूची (बहिष्करण के सिद्धांत) एन्कोडिंग के लिए दृष्टिकोण है, जो संभवतः दरवाजा अधखुला के लिए छोड़ देता है का उपयोग करता है भविष्य में नए खोजों का शोषण। Anti-XSS library (अब वेब प्रोटेक्शन लाइब्रेरी के रूप में जाना जाता है और एसक्यूएल इंजेक्शन को कम करने के लिए कोड भी शामिल है) एक श्वेतसूची दृष्टिकोण (समावेशन का सिद्धांत) का उपयोग करता है जो दरवाजा बंद करता है और बेहतर सुरक्षा प्रदान करता है।

<%: ... %><%= Server.HtmlEncode(string) %> के लिए सिर्फ एक शॉर्टकट है और इसलिए आपके आवेदन में उपयोग किए गए एन्कोडर की सुरक्षा प्रदान करता है।

आप आप नए <%: ... %> वाक्य रचना के साथ की तरह किसी भी एनकोडर उपयोग कर सकते हैं और फिल Haack hooking up the Anti-Xss library as the default encoder पर कोई बेहतरीन पोस्ट है। ध्यान रखें कि वर्तमान में एंटी-एक्सएसएस लाइब्रेरी 3.1 को मध्यम ट्रस्ट चलाने की आवश्यकता है - इसे भविष्य में रिलीज के लिए संबोधित किया जा रहा है।

Answer 2

नया वाक्यविन्यास केवल HTML में कच्ची टेक्स्ट सामग्री से बचने के लिए उपयोग किया जाना चाहिए। संपादित करें: और विशेषताओं।

के लिए गुण, जावास्क्रिप्ट, और अन्य संदर्भों, आप अभी भी विरोधी XSS पुस्तकालय का उपयोग करना चाहिए,