एचटीएमएल

Question

sanitizing XSS हमलों को रोकने के इरादे में के लिए एमएस विरोधी XSS पुस्तकालय का उपयोग करना, मैं एक डेटाबेस और retrieves में एक पृष्ठ, जिसमें हम एक पाठ बॉक्स है कि HTML स्वीकार करता है, भंडार इसे अपडेट करने कर रहा हूँ और बाद में यह हो जाता है।

मेरे समझ है कि मैं AntiXSS.GetSafeHtmlFragment() पद्धति का उपयोग करके एचटीएमएल स्वच्छ कर सकते हैं। जब तक मैं डेटाबेस में HTML संग्रहीत करने से पहले ऐसा करता हूं, क्या मैं कवर किया गया हूं? क्या वेब पेज पर HTML आउटपुट होने पर मुझे कुछ भी करने की ज़रूरत है?

इसके अलावा, यह प्रतीत होता है कि सफेद सूची एक ब्लैक बॉक्स की तरह है। क्या हमारी आवश्यकताओं के आधार पर इसे अपडेट करने का कोई तरीका है?

Answer 1

आपको सेट किया जाना चाहिए। हालांकि स्पष्ट रूप से यह आपको डेटाबेस में पहले से ही कुछ भी नहीं बचाएगा।

आप AntiXSS.GetSafeHtmlFragment() का उपयोग करते समय जब बचत के बजाय पेज outputting सकता है। लेकिन बचत करते समय करना संभवतः सुरक्षित है। यद्यपि प्रतिपादन और बचत करते समय आप इसे दोनों नहीं करना चाहेंगे।

श्वेतसूची संपादन योग्य नहीं है।

Answer 2

आप लगभग वहां हैं। आपको यह सुनिश्चित करना होगा कि you choose the proper encoding। उदाहरण के लिए, यदि उपयोगकर्ता इनपुट यूआरएल में जाता है, तो आपको AntiXSS.UrlEncode() का उपयोग करना होगा, और यदि यह जावास्क्रिप्ट में जाता है तो आप AntiXSS.JavaScriptEncode() का उपयोग करना चाहते हैं। यदि आप आउटपुट प्रारूप को इनपुट करते समय इनपुट को सहेजते समय गारंटी नहीं दे सकते हैं, तो आउटपुट समय पर sanitizing करना बेहतर है।

Answer 3

"ब्लैक बॉक्स" के बारे में अपने प्रश्न के बारे में: हाँ, यह एक ब्लैक बॉक्स है, और मैं समझता हूँ कि आप उसे संपादित नहीं कर सकते हैं। यदि आप अधिक ग्रैन्युलरिटी की तलाश में हैं, तो AntiSamy.NET project देखें।

Answer 4

नवीनतम 4.x एंटी-एक्सएसएस पुस्तकालयों में, GetSafeHtml() और SetSafeHtmlFragment() Microsoft में Sanitizer क्लास के अंतर्गत हैं। सुरक्षा। अनुप्रयोग, जिसे HtmlSanitizationLibrary असेंबली में ले जाया गया था।

[पदावनत लिंक: http://www.microsoft.com/en-us/download/details.aspx?id=28589] अपडेट: यह लगता है कि उस NuGet पैकेज में ले जाया गया था: https://www.nuget.org/packages/HtmlSanitizationLibrary/