< and >がエンコードされている間にhtmlタグ間でxss攻撃が可能

Question

<と>がエンコードされている間にxss攻撃が可能ですか？例えば ：

<tag>{{output}}</tag> 

"<"、 ">" {{出力}}には、に符号化される場合、 "& LT;"、 "& GT;"、および<tag>が起こるXSSでき、<script>することはできませんか？

Answer 1

まず、独自のXSSフィルタを手動で実装することは、ほとんど常にひどい考えです。。

ペイロードを符号化することによって、一般に非常に簡単に回避できます（たとえば、<は%60などとエンコードされたURLにすることができます）。可能であれば、プラットフォームによって提供されるネイティブのエスケープ関数を使用する方がはるかに安全です（さらに好ましい）。たとえば、PHPではhtmlspecialchars、Pythonではhtml.escapeなどとなります。特定の例において

あなたの出力は内間タグはなく、が挿入されているので、XSSは、それらは、（属性値のように）<又は>では不可能です。 " onerror="alert(1)の値を挿入すると、このXSSにつながる

<img src="{{output}}"> 

：：あなたの元のフィルタは、次のような他のシナリオにXSSに対する保護ではないでしょう

<img src="" onerror="alert(1)"> 

あなたが助けることができる場合は、独自のフィルタを実装しないでくださいそれ。ここではいくつかのOWASPのドキュメントです：

• XSS Prevention Cheat Sheet
• XSS Filter Evasion Cheat Sheet