xss

0熱

2答えて

私たちのサイトのいくつかの領域には、要求を送信するためにInfoPathフォームが実装されています。一例は、ユーザーがメッセージに返信できるスタッフに質問をすることができるリクエストフォームです。誰かがInfoPathコントロール（件名またはメッセージ本文）のいずれかでJavaScriptに入力し、InfoPathフォームを通じてデータを送信できる可能性があります。そのJavaScriptコード

0熱

3答えて

C＃では、brのを含むHTML入力を許可しながらXSSを防ぐ方法は？

私はしばらくの間MS's AntiXSS libraryを使ってきました。最近私は自分のサイトのテキストエリアをプレーヤテキストエリア（WYSIWYGであった）に変更し、改行をbrに変換することにしました。問題は、MSのAntiXSSライブラリはこれをサポートしていません...それはbrを取り除きます。私はユーザーのエントリをチェックしないで直接私のDBに入れさせたくありません。 MS Anti

1熱

1答えて

ICEFacesセキュリティ

私は2つのセキュリティ上の問題を抱えています。機密情報をキャッシュするブラウザを避けるために、クライアントのセキュリティガイドラインでは、POST要求が200応答を返さないようにする必要があります。当初、私はこれに対処するためにphaseListenerを設定しましたが、GETは唯一のリクエストでした。私は、クライアントのセキュリティチームがBlockingServletへのajax呼び出しであ

0熱

1答えて

特定のXSS攻撃のベクトルについての説明が必要

私の教員がXSS-edを持っているため、私の学校のウェブサイトがハッキングされています。だから私は、誰もがどのようにこのベクトルの作品を私に説明でき、このXSS攻撃ベクトル <img src="<img src=search"/onerror=alert("Xss")//"> を使用している攻撃者を発見し、そしてどのようにさらにXSS攻撃に対する私のセットアップ私のサイトをお勧めします。なぜi

1熱

1答えて

レールで属性値をサニタイズする方法

レールで属性値をサニタイズする最良の方法は何ですか？ <img alt="<%= h 'untrusted-data' %>" src="image-source-here" /> 私はHTML共通に信頼されていないデータを挿入する前owasp.net XSS prevention cheat sheet. 属性エスケープに与えRule #2とRule #3について特に心配挿入する前 Java

5熱

3答えて

危険なマークアップをフィルタリングするが残念なことになるASP.NET MVCのHTMLサニタイザ

HTMLサニタイザに関する多くの質問がSOに表示されていますが、私が望むことをすればわかりません。いくつかの推奨されたアプローチは4歳以上であるため、混乱します。 TinyMCEエディタのページがあります。もちろん、このエディタはHTMLをサーバに送信し、HTMLを期待しているので、の属性で修飾されたStringのプロパティを持つエンティティを作成しました。それはうまくいく。ここで、<scrip

3熱

1答えて

CAT.Net 2.0 download

CAT.Net 2.0のダウンロード可能なコピー（ベータ版かどうか）を知る人はいますか？私はたくさんの隠れているが、私はMS Connectサイトへの壊れたリンクしか見つけることができない。助けてください！

1熱

1答えて

フレームワークは、私がOWASPのウェブサイトでXSSについてのページを読んでXSS

、12 を保護するために、しかし、私は疑問について興味があります。 html purifierまたはesapyのようなフレームワークの使用が不可能な状況はありますか？ある種の制限。もしそうなら、状況を知りたい。これらの状況が存在する場合、手動エスケープ（出力エンコーディング）はxssを防止する唯一の方法ですか？おかげとすぐにこれらのツールは役に立たない非HTMLコンテキスト内のデータを使用する

6熱

5答えて

明らかなjsonp xssの脆弱性

私たちの顧客の中には、私たちのJSONPエンドポイントすべてで認識されているXSSの脆弱性について争っている人がいますが、実際に脆弱性を構成するかどうかは不一致です。私が何かを逃していないことを確かめるためにコミュニティの意見を聞きたい。ので、任意のJSONPシステムと同様に、我々のようなエンドポイントを持っています。お客様がいることを訴えている callback123({"foo":"bar"

1熱

1答えて

ASP.NET 4/IIS7でクエリ文字列をhtmlエンコードするのはなぜですか？

我々はIIS7上で、.NET 4を使用して我々のテスト環境の1つを切り替えました。生産は、.NETを使用しているように http://www.example.com/page.aspx?param1=<foo>¶m2=<foo> として2 特定のURLは、）（Request.Url.ToStringに<または>を探している私たちのstringindexコードでキャッチ取得されていません