socket.io/node.jsのXSSチャット？

Question

さて、私は自分のウェブサイトでxssを修正しようとしていたので、すべて失敗しました。 「名前」と呼ばれる文字列は、人々は私はすでに

name = name.replace(/(<|>)/g, ''); 

if(name.indexOf('<') !== -1){ 
return false; 
} 

私がやって管理されるすべての

を試してみました <script>alert("HahS");</script>のようなものに自分の名前を変更するwhitchであり、XSSを送信したユーザの修正XSSはあるが、すべてのためにそれを記録した他の人はまだポップアップします。

Answer 1

独自の正規表現を記述しないでください。 encodeURIComponent()を使用してください。これは、このようなユーザー入力から逃れるための適切な方法です。

const sanitized = encodeURIComponent(name); 

トリックは正しい場所でこれを行う必要があることです。 nameパラメータが他のクライアントにブロードキャストされている場合、エスケープする場所を決定する必要があります。一般に、がにレンダリングされる前に、またはエスケープされないと危険な方法で使用される前に、これを行うのが最善です。

これが意味：

1. は、クライアント上ではなく、サーバー上でそれを行います。
2. 潜在的な悪意のあるユーザーが自分の名前を送信するのではなく、クライアントが初期化/レンダリングを実行するときに実行します。右の場所がどこにある考え出す苦労している場合は、nameを使用して（あなたがそれを取り除くことができる場所を見つけ出す）逆方向に動作し、どこでも

、ちょうどencodeURIComponent()を追加します。まもなくnameがダブルエスケープされることになります。しかし、それはほとんどの無実の値がnameで大丈夫です。これは、XSS攻撃に開放されているよりも良いデフォルトです。

詳細：

• http://lukeplant.me.uk/blog/posts/why-escape-on-input-is-a-bad-idea/
• https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet