相关疑难解决方法(0)

<html>
  <head>
    <script type="text/javascript">
      // --------------------------------------------------------
      // could calling this method produce an XSS attack?
      // --------------------------------------------------------
      function decodeEntity(text){
        text = text.replace(/<(.*?)>/g,''); // strip out all HTML tags, to prevent possible XSS
        var div = document.createElement('div');
        div.innerHTML = text;
        return div.textContent?div.textContent:div.innerText;
      }
      function echoValue(){
        var e = document.getElementById(decodeEntity("/path/&#x24;whatever"));
        if(e) {
          alert(e.innerHTML);
        }
        else {
          alert("not found\n");
        }
      }
    </script>
  </head>
  <body>
    <p id="/path/&#x24;whatever">The Value</p>
    <button onclick="echoValue()">Tell me</button>
  </body>
</html>

Run Code Online (Sandbox Code Playgroud)

在id该的<p>元素包含以防止XSS攻击了逃脱字符.HTML部分和JS部分由服务器生成,服务器在两个部分上插入相同的转义值(可能来自不安全的源).

服务器以下列&#x格式转义以下字符范围: …

html javascript xss

eck*_*kes

2017 05-23

6
推荐指数

1
解决办法

1705
查看次数

保护 Express 免受 XSS：对整个传入请求的 HTML 实体进行编码是否足够？

我有一个要防止 XSS 的 Express 应用程序。

我将一些关于 XSS 的页面（包括OWASP的页面）改成了红色，鉴于我的应用程序特性，我决定编写一个中间件，<>"'在我在路由中使用请求参数之前，对 HTML 实体（更准确地说是 XML 实体，包括）进行编码。

我还在连接时刷新会话 cookie，以防止 cookie 被盗。

我如何构建我的应用程序

所有AJAX请求都是POST（所有参数由中间件重写）
我不使用 GET 参数
我使用的路由参数应该是 int 并且当它们不是时我会引发错误。
唯一不是来自用户输入的数据来自 OAuth 个人数据检索，当它们进入我的应用程序时我也会对其进行消毒
在页面加载时执行的客户端 JS 只涉及来自数据库的数据，假设它们在进入数据库时由中间件清理。
window.location 被安全使用
我还没有使用任何外部客户端 JS 库（如 JQuery 或 FileUpload）——也许我稍后会在代码中添加它们
当用户输入一些东西时，它总是被发送到服务器（通过 AJAX POST），我借此机会发回经过消毒的输入以在 JS 和/或 DOM 中使用它而不是初始输入
我不使用 eval

我的感受

我的结论是，通过这种行为（在外部数据到来时清理它们），我避免了所有存储和反射的 XSS，并且正确使用 windows.location 可以防止我对抗基于 DOM 的 XSS。

这个结论是对的，还是我忘记了什么？我还应该使用一些头盔功能吗？

编辑

我的问题不是什么是最好的 HTML sanitizer 服务器端（即使它是它的一部分），我更想知道我在代码中放置的保护措施是否可以保护我的应用程序免受所有众所周知的 XSS 类型的侵害。特别是我会知道我的中间件是否不是一个坏习惯。

事实上，PHP中的XSS 过滤功能至少没有涵盖基于 DOM 的 XSS 攻击（因为它只涵盖了服务器端的 HTML …

xss sanitize node.js express

nlc*_*nlc

2020 06-20

5
推荐指数

1
解决办法

4947
查看次数

消毒粘贴输入

假设我复制了一些“恶意”输入，例如带有事件处理程序或其他 JavaScript 的 DOM 节点

<img src="bunny.jpg" onload="alert('hi');">

Run Code Online (Sandbox Code Playgroud)

如果我将其复制到剪贴板并将其粘贴到contenteditablediv 中，则事件处理程序将被干净地删除。

<img src="/Users/tjhance/Desktop/bunny.jpg">

Run Code Online (Sandbox Code Playgroud)

我现在可以随心所欲地操纵这个 DOM 节点了。到目前为止还不错。

另一方面，假设我想挂钩浏览器的粘贴事件并以我自己的方式处理粘贴。我可以轻松获取剪贴板数据：

<div contenteditable="true" id="myContentEditableDiv"></div>

<script>

$('#myContentEditableDiv').on('paste', function(event) {
    console.log(event);
    var pastedHtml = event.originalEvent.clipboardData.getData('text/html');
    console.log(pastedHtml);
});

</script>

Run Code Online (Sandbox Code Playgroud)

当我粘贴时，我得到了 HTML

<meta charset='utf-8'><img src="/Users/tjhance/Desktop/bunny.jpg" onload="alert('hi');" style="color: rgb(0, 0, 0); font-family: Times; font-size: medium; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: 1; word-spacing: 0px; -webkit-text-stroke-width: 0px;">

Run Code Online (Sandbox Code Playgroud)

它未经消毒，并且仍然具有事件侦听器。据我所知，我无法用这个字符串做任何事情。我无法使用浏览器将其解析为 HTML，因为它会运行 JavaScript，这是一个巨大的安全漏洞。

很明显，浏览器具有一定的清理 HTML 的功能，因为它是在粘贴时执行的。因此，如果我想要干净的 HTML，我可以等待事件完成并将 …

javascript copy-paste contenteditable

tjh*_*nce

lucky-day

5
推荐指数

1
解决办法

3353
查看次数

Javascript - 正则表达式/替换优化

我有一个脚本,允许替换不需要的HTML标签和转义引号来"提高"安全性,并主要防止脚本标记和onload注入等....这个脚本用于"纹理化"从中检索的内容innerHTML.

但是,它在我的执行时间附近乘以3(在循环中).我想知道是否有更好的方法或更好的正则表达式:

function safe_content( text ) {

    text = text.replace( /<script[^>]*>.*?<\/script>/gi, '' );
    text = text.replace( /(<p[^>]*>|<\/p>)/g, '' );
    text = text.replace( /'/g, '&#8217;' ).replace( /&#039;/g, '&#8217;' ).replace( /[\u2019]/g, '&#8217;' );
    text = text.replace( /"/g, '&#8221;' ).replace( /&#034;/g, '&#8221;' ).replace( /&quot;/g, '&#8221;' ).replace( /[\u201D]/g, '&#8221;' );
    text = text.replace( /([\w]+)=&#[\d]+;(.+?)&#[\d]+;/g, '$1="$2"' );
    return text.trim();

};

Run Code Online (Sandbox Code Playgroud)

编辑:这里有一个小提琴:https://fiddle.jshell.net/srnoe3s4/1/.小提琴script显然不喜欢javascript字符串中的标签所以我没有添加它.

javascript regex replace sanitization

fre*_*aky

2017 04-21

5
推荐指数

1
解决办法

206
查看次数

使用正则表达式删除所有 html 属性（替换）

例如我有这样的html：

\n\n

<title>Ololo - text\xe2\x80\x99s life</title><div class="page-wrap"><div class="ng-scope"><div class="modal custom article ng-scope in" id="new-article" aria-hidden="false" style="display: block;"><div class="modal-dialog first-modal-wrapper">< div class="modal-content"><div class="modal-body full long"><div class="form-group">olololo<ul style="color: rgb(85, 85, 85);background-color: rgb(255, 255, 255);"><li>texttext</li><li>Filter the events lists by host.</li><li>Create graphs for separate hosts and for the groups of hosts.</li></ul><p style="color: rgb(85, 85, 85);background-color: rgb(255, 255, 255);">bbcvbcvbcvbcvbcvbcvbcvb</p></div></div></div></div></div></div><title>cvbcbcvbcvbcvbccb</title><div class="page-wrap"></div></div>\n

Run Code Online (Sandbox Code Playgroud)\n\n

我怎样才能从这样的html中删除所有样式类id等？

\n\n

我有这样的正则表达式：

\n\n