応答ヘッダの検証（

Question

）

私は自分のレスポンスヘッダにユーザ定義のパラメータを直接渡しています。私が学んだことは、ユーザーがヘッダーを操作でき、クロスサイトスクリプティング攻撃や他の種類の複数の攻撃につながる可能性があるので、良い考えではありません。

https://www.fortify.com/vulncat/en/vulncat/python/header_manipulation.html

私はこれを防止するためにやっていることは「\ rを」と空の文字列と「\ nの」文字「を」置き換えることにより、「HTTPレスポンス分割」のためのユーザー入力を検証しています。これで十分か、他の文字もチェックする必要があります。どのポインタも大きな助けになるでしょう。

これは私のコードです。

if(response != null) 
    { 
    newResponse = response.replaceAll("[\r\n]", ""); 
    } 

このような種類の攻撃を防止するには十分ですか、他の文字についても検証する必要があります。

Answer 1

ホワイトリストはブラックリストよりもはるかに安全です。ホワイトリストを使用できるかどうかは、ユーザー定義のパラメータについてどれだけ知っているかによって異なります。

ここ

より：

http://cwe.mitre.org/data/definitions/113.html

Answer 2

あなたの情報は、適切な回答のために不十分です。あなたの行動が十分であるかどうか、そしてあなたのコードがどのような環境で実行されているかを知るためには、パラメータ値を使って何をするかを知る必要があります。100％正しい（しかしかなり役に立たない）答えは、いいえ。 "

セキュリティは、元のコンテキストの外で撮影された簡単な箇条書きに従うことで実装されません。あなたはPythonのコンテキストからそれを取り出し、Javaコンテキストに直接配置しました。あなたの環境とコードが完全に何をしているのかを理解しなければなりません。銀色の弾丸はありません。