ユーザーがサイトのヘッダーにコンテンツを追加するセキュリティ上の脆弱性

Question

私のアプリケーションでは、登録ユーザーが自分の個人用Webサイトを作成できるようにしました。サイトヘッダに分析コードを追加します。 Googleアナリティクスのコードを追加できるように制限しているので、自分のコンテンツを追加するリスクがあることを理解しています。

1. 私が自分のJavaScriptをウェブサイトのヘッダーに入力させると、それが起こる可能性がさらに低くなります。

2. 追加するGoogleアナリティクスコードのみを制限する方法を教えてください。

Answer 1

1. これはユーザーをフィッシングまたはマルウェアサイトにリダイレクトする可能性があります。ドライブバイダウンロードを設定しようとする。ページの内容全体を完全に書き直し、セッション、ログイン資格情報、その他の情報をユーザーから奪ったり、サイトを改ざんしたりする。あなたのサイトにいる間、ユーザーのブラウザにキーロガーをインストールしてください。

2. 提供されているID文字列が、すべての診断IDが従わなければならないパターンに合っていることを確認する小切手を書いてください。アナリティクスIDに表示される可能性のある文字のみを許可します。周囲のjsコードの残りの部分を自分で生成します。 @yahelcは正規表現^UA-\d+-\d+$を提供してUA IDを検証しています。

Answer 2

JavaScriptを追加しないでください。 JavaScriptを追加し、GoogleアナリティクスIDを適切な形式であると検証できるように設定します。そうすれば、サイトにコードを追加することができず、悪い値を簡単に取り除くことができます。