一 简介
Asp.net 1.1后默认提供了防范 XSS(跨站脚本攻击) 的能力, 如果发现有风险的html标签 系统会抛出一个
HttpRequestValidationExceptioin 异常,
二 使用
1.可以设置 validateRequest=false 来禁用这个特性,
2.可用如下方法捕获该错误并对其进行处理: [请切记关闭后需自行编辑代码处理危险字符]
| 以下是引用片段： protected void Page_Error(object sender, EventArgs e) { Exception ex = Server.GetLastError(); if (ex is HttpRequestValidationException) { Response.Write("请您输入合法字符串。"); Server.ClearError(); // 如果不ClearError()这个异常会继续传到Application_Error()。 } } |
3.自行编写代码处理危险字符可以采用 "默认禁止,显式允许"的策略。即先将输入用HtmlEncode()来编码,然后再用Replace()替换出安全标签
4.根据微软提供的建议，我们要慎重允许下列HTML标签，因为这些HTML标签都是有可能导致跨站脚本攻击的。
| 以下是引用片段： <applet><body><embed><frame><script><frameset><html><iframe><img><style><layer><link><ilayer><meta><object> |
可能这里最让人不能理解的是<img>。但是，看过下列代码后，就应该明白其危险性了。
| 以下是引用片段： <img src="javascript:alert(''hello'');"> <img src="java script:alert(''hello'');"> <img src="java script:alert(''hello'');"> |
通过<img>标签是有可能导致Javascript执行的，这样攻击者就可以做他想伪装的任何事情。
关于<style>也是一样：
| 以下是引用片段： <style TYPE="text/javascript">... alert(''hello''); </style> |
扫一扫
9887
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
