相关疑难解决方法(0)

有一种简单的方法可以在JavaScript中获取一串html并删除html吗？

在PHP中进行Html编码最简单的方法是什么？

有谁知道浏览器是否保证Node类型的DOM Text不被解释为HTML？

更多细节如下.

背景

我正在为朋友建立一个简单的网络评论系统,我一直在考虑XSS攻击.我不认为过滤或转义HTML标签是一个非常优雅的解决方案 - 很容易想出一个会过滤掉过滤器的卷积.根本问题在于,我想保证,对于某些内容(即随机未经身份验证的Web用户POST的内容),浏览器永远不会尝试解释或运行内容.

简单(文本)开始

想到的第一个想法就是使用Content-Type: text/plain,但这必须适用于整个页面.您可以IFRAME在页面中间放置一个明文,但它很难看,如果用户点击框架,它会产生焦点问题.

的innerText /的textContent/JQuery的

事实证明,有些浏览器特定的(innerText在IE中,textContent在FF,Safari等中)属性,在设置时,需要创建单个Text节点.

JQuery试图通过实现一个text(val)跳过特定于浏览器的属性并直接进入的函数来避免浏览器特定属性的差异document.createTextNode(text),正如您所猜测的那样,创建一个Text节点.

W3 DOM Text Node小号

所以我认为这接近我想要的,它看起来很好 - Text节点不能有孩子,看起来它们不能被解释为HTML.但我不是100%肯定官方文件.

• 界面Node:http://www.w3.org/TR/DOM-Level-3-Core/core.html#ID-1950641247
• 界面Text:http://www.w3.org/TR/DOM-Level-3-Core/core.html#ID-1312295772
• textContent:http://www.w3.org/TR/DOM-Level-3-Core/core.html#Node3-textContent

部分来自textContent特别令人鼓舞,因为它说"在设置时,也不执行解析,输入字符串被视为纯文本内容." 但这是所有Text节点的基础,还是只有你设置的节点textContent？这似乎是一个愚蠢的狡辩,但它可能很重要,因为IE不支持textContent(见上文).

回到最初的问题

任何人都可以确认/拒绝这将有效吗？也就是说,无论内容是什么,符合w3 DOM的浏览器都不会将Text节点解释为HTML？我非常感激这种折磨的不确定性已经解决了.

感谢您的时间!

我正在创建一个网页,用户可以在远程计算机上进行交互并执行基本文件系统操作(创建文件/目录,删除文件/目录,导航文件系统).该网页是基本的HTML(UTF-8编码)和Javascript.我需要让这个网页XSS证明.

是否可以使用Javascript(这输出百分比编码的十六进制值)来逃避用户输入中的所有非字母数字字符(以防止基于DOM的XSS)和文件名信息(以防止存储的XSS)？

我基本上只将字母数字输入列入白名单.此外,由于我使用百分比编码的十六进制值,我假设不应该存在UTF编码漏洞.

任何人都可以想到这个机制中的任何安全漏洞吗？

我正在与一位同事争论如何通过特定字符的编码来防止 XSS 攻击。用 逃避<角色会<成功吗？

当我查看OWASP 发布的攻击向量备忘单时，似乎所有攻击都使用<字符作为执行的基础。

如果这不起作用，什么攻击可以打败它？

如果我重新显示网站用户输入的任何数据的HTML编码,这会阻止CSS漏洞吗？

此外,是否有可用的工具/产品将为我清理我的用户输入,因此我不必编写自己的例程.