xss

0熱

3答えて

XSSを防ぐために、HTML形式でユーザー入力をhtmlspecialchars（）する必要がありますか？

これまでに尋ねられたことがお詫び申し上げますが、この場合、あまりにも過小ではなく、そこに情報の過負荷があると感じています。私が見ているところには矛盾する意見があるようです。説明があれば幸いです。私はユーザー登録フォームを持っています。私はさまざまなフィールドを検証しましたが、私はhereを読んで出力（ユーザープロファイルなど）を残すことをお勧めしていますので、データ（例：htmlspecial

0熱

2答えて

開発者がリファラーヘッダーで緩和する場合、CSRFを持つことは可能ですか

ペントレーションテスト後、開発者は参照ヘッダーのみを使用してCSRFの脆弱性を緩和します。アプリケーションにはXSSのような他の脆弱性があります。 XSSの助けを借りてCSRFを利用することは可能ですか？もしそうなら、どのように？

0熱

1答えて

OWASPを使ってJavaでXSSを検出するには

私は今、XSSを扱っています。文字列にXSSが含まれているかどうかを検出する必要があります。それを解決するために私はlinkを使用しました。 public static boolean containsXSS(String value) { if (StringUtils.isEmpty(value)) { return false; } String

0熱

1答えて

JSON ajax投稿のMVCアクションからのXSS検証

jsonがMVCアクションに投稿された場合（JQueryからの$ .ajax投稿など）、MVCからのXSS検出をフィルタから手動で呼び出す方法はありますかjsonコンテンツ）？私たちはMVC 5を使用しており、XSS（潜在的に安全でない入力が検出された）を捕まえるための標準のMVCメカニズムに問題はありませんが、アプリケーションのいくつかは$.ajaxを使用してJSON（ "applicat

0熱

2答えて

OWASPを使用したJavaのクロスサイトスクリプティングの脆弱性を修正しました。

私はOWASPを初めて使用しているので、以下のケースでOWASPを使用して入力をサニタイズする方法を理解できますか？あなたがサニタイズするOSのライブラリを使用することができ Enumeration<String> EnumHeader = request.getHeaderNames(); Map<String, String[]> pMap = request.getParameterMap(

0熱

1答えて

HTMLエディタのコンテンツを正しくエスケープするにはどうすればいいですか？

私はTinyMCEエディタを使用していて、テキスト領域の内容を正しく処理するhtmlspecialchars()を使用してコンテンツを処理していますが、WYSIWYGエディタを使用すると、もう少し混乱します。コンテンツ出力部分。私は出力にコンテンツをHTML清浄を使用して、私は、私はちょうど例えば行ってきた理解したものとしています： $purifierConfig = HTMLPurifier_

0熱

2答えて

JSONでHTMLをHEXにエンコードする必要がありますか？

私のウェブサイトでは、ユーザーの入力からのhtmlタグはhtmlspecialcharsでエスケープされ、htmlタグ+エスケープされたユーザーコンテンツをPHP json_encodeを使用してJSON変数として送信します。これはすべて「as」としてエスケープされます。ユーザー入力がすでにエスケープされているため、htmlです。これはうまく動作しますが、問題はありませんでした。どのようにXSS

0熱

1答えて

JSTLでEL式を使用する

XSSの脆弱性を修正するコードがいくつか用意されています。タスクは、現在のコードJSP式をすべて安全にエスケープすることです。私はこれを行うためにJSTLを使用しています。私はリファクタリングの自由を持っておらず、ただ安全にしています。ロジックと変数は私が変更できないスクリプトレットにあります。これを行うにはどのような方法が最適ですか？次は実行可能な解決策ですか？後 <% String m

1熱

1答えて

ユーザが生成したコンテンツがない場合、ウェブサイトはXSS攻撃から安全ですか？

私は、トークンを格納するために必要な認証システムを使用する小さなWebサイトを作成しています。それをlocalStorageに保存することは、この段階では私にとって最も便利なオプションですが、わかっているように、これはXSS攻撃に対して潜在的に脆弱です。セキュリティ要件はそれほど厳密ではありません（攻撃が成功すると特に重要なデータは公開されません。ログインは単にサイト上で誰が何をしたのかを把握する