क्रॉस साइट स्क्रिप्टिंग (एक्सएसएस): क्या मुझे एम्परसैंड से बचने की ज़रूरत है?

Question

मैं एक एचटीएमएल संदर्भ में एक्सएसएस के लिए भागना चाहता हूं, और अब तक मैं <,>, और "अक्षर का इलाज करता हूं जाहिर है कि एम्पर्सेंड से बचने की भी सिफारिश की जाती है, लेकिन क्यों? (एचटीएमएल वैध रखने के अलावा , मान लेते हैं कि यह कोई मुद्दा नहीं है भी नहीं)

तो क्या मैं पूछ रहा हूँ है: जब मैं <,> बचने और ", किसी को प्रदर्शित कर सकते हैं कि कैसे एम्परसेंड अभी भी एक एचटीएमएल संदर्भ में एक XSS हमले अनुमति दे सकते हैं?

चीयर्स!

Answer 1

आपको वास्तव में एक नज़र रखना चाहिए ओडब्ल्यूएएसपी एक्सएसएस रोकथाम धोखा शीट पर।

आपको & से बचना चाहिए क्योंकि इसका उपयोग अन्य सुरक्षा को रोकने के लिए किया जा सकता है। इस कोड पर विचार करें:। data_from_user में

<button onclick="confirm('Do you really want to delete <%= data_from_user; %> ?'">Delete</button> 

ऑनक्लिक ईवेंट हैंडलर के अंदर XSS के खिलाफ की रक्षा के लिए, डेवलपर निकल जाता है ', ", < और> और सोचता है कि सब कुछ ठीक है समस्या है अगर हमलावर प्रकार ' जो गुजरता है कि एस्केपिंग, लेकिन हमलावर को javaScript चलाने की अनुमति देने के लिए समाप्त होता है

यहाँ उदाहरण:।। http://erlend.oftedal.no/blog/?blogid=124

नवीनतम प्रश्न

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 संबंधित मुद्दे

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.