Защита от межсайтового скриптинга (XSS)¶

Идея атаки “межсайтовый скриптинг” (XSS, cross-site scripting) заключается в следующем.
Пользователь отправляет, например, своё имя, заполняя форму. Затем приложение добавляет имя во внутренний список и отображает весь список на странице. Если имена не отображаются безопасно, злоумышленник может отправить JavaScript-код вместо имени, и этот код выполнится в браузере любого другого пользователя, просматривающего список имён.
На рисунке показан базовый пример такой атаки.

Здесь шаблон Razor отображает имена с помощью метода @Html.Raw(), который записывает тег <script> прямо в документ. Как только страница загружается в браузере пользователя, тег <script> выполняется, и компьютер пользователя скомпрометирован.

По умолчанию, Razor защищает нас от XSS-атак путём кодирования всех записанных данных в HTML с помощью тег-хелперов, HTML-хелперов или синтаксиса @. Опасность заключается в использовании метода @Html.Raw() — если HTML, визуализируемый этим методом, содержит пользовательский ввод (даже косвенно) — это потенциально уязвимое для XSS-атаки место. Чтобы закодировать содержимое до записи его в вывод, необходимо использовать символ @:

В этом примере используется кодирование в HTML для предотвращения непосредственного добавления элементов в HTML DOM. Другой случай — передача недоверенных данных в JavaScript или в значениях URL-запросов.
Например, если в файле Razor есть переменная с именем name, и ее нужно сделать доступной в JavaScript, есть соблазн написать что-то вроде

<script>var name='@name'</script>

@inject System.Text.Encodings.Web.JavaScriptEncoder encoder;
<script>var name = '@encoder.Encode(name)'</script>

<div id="data" data-name="@name"></div>
<script>
    var ele = document.getElementById('data');
    var name = ele.getAttribute('data-name');
</script>

Комментарии

Комментарии