Arrêter des XSS lors de l'utilisation de Web API

Il y a deux écoles de pensée principales pour protéger contre les attaques XSS.

• codage de sortie
• Validation d'entrée

  pour codage de sortie, server.htmlencode (p.Message) devrait faire le tour (donc ce que vous avez actuellement dans votre exemple fonctionnera, n'a pas besoin de remplacer la regex si vous ne voulez pas à. Le codage de sortie empêchera XSS). Ici, je suppose que vous voulez faire un codage HTML et non un codage de l'URL ou similaire.

  On dirait que vous utilisez le cadre .NET MVC. Vous pouvez utiliser Dataannotations Pour préformer la validation de liste blanche (autoriser uniquement les caractères sécurisés) contre la liste noire. Je regarderais à l'aide de RegularexpressionAttribute . Par exemple: xxx

  espère que cela aide.

Pour protéger contre les failles de sécurité du Web:

Essayez d'atténuer les dommages. Utilisez des jetons antiforgery, assurez-vous que vous n'acceptez que SSL pour certaines actions. Assurez-vous que les cookies sont correctement sécurisés. Globalement, minimisez la surface d'attaque et mettez des barrages routiers pour le rendre plus difficile.

Pour protéger contre les utilisateurs saisis:

paramétrise l'entrée de l'utilisateur, si vous ne pouvez pas paramétrer, encoder, mais faites très attention à l'encodage, de nombreux exploits ont été causés par un encodage incorrect. Le codage dépend également de l'endroit et de la manière dont l'entrée va être utilisée. Contraintenant et validez la saisie de l'utilisateur, assurez-vous que le serveur n'accepte que certains domaines d'entrée. Et comme avant, comprenez toutes les manières d'utiliser l'entrée.

Manipulation de la réponse du serveur Web:

Assurez-vous que vous avez obtenu un statut OK à partir du serveur Web. Si vous ne l'avez pas, gérer chaque réponse appropriée. Généralement, JQuery.ajax vous donne la possibilité de gérer toutes les réponses avec FAIT, FAIT, TOUJOURS et STUSYCODE, REPRENCEZ DE LA DOCUMENTATION JQUERY sur la manière de le faire correctement.

Trois choses que vous devez faire:

1. Utilisez le @ html.antiforgeryToken () dans vos formulaires et son attribut [validateantantOntRibUtTokenatRibute] correspondant à décorer vos classes et / ou méthodes.

2. Entrée de la poignée de l'utilisateur correctement. Partout où les données sont touchées, le contexte doit être considéré s'il doit être codé ou paramétré, ou autrement validé, contraint ou modifié.

3. gérez correctement les réponses du serveur Web.

   [AttributeUnage (attributetaRgets.Method | attributetAregets.class, autorisationMultiple = false, héritée = vrai)] Classe scellée publique validaeantIforgeryTokenattribute: filtreTribute, iAuthorizizIserFilter { Tâche publique ExecuteAuthorizationFilterAsync (HttpActionContext ActionContext, CancellationToken cancellationToken, Func continuation >) { essayer { Antiforgery.validate (); } attraper { actionContext.response = nouveau httpresponsonsemessage { StatusCode = httpstauscode.Forbiden, DemandeMessage = ActionContext.ControlContext.Request }; retour FromResult (actionContext.Response); } continuation de retour (); } Tâche privée DROSULT (HTTPRESPONSEMESSEMESSAGE) { var source = nouvelle tâchePompletSource (); source.setresulte (résultat); retour source.task; } }