数据URI和潜在危险的Request.Path值

Question

我尝试过使用这个CSS属性的数据URI：

background-image: url("data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJAAAAGXRFWHRTb2Z0d2FyZQBBZG9iZSBJbWFnZVJlYWR5ccllPAAAAA9JREFUeNpiYGBg8AUIMAAAUgBOUWVeTwAAAABJRU5ErkJggg==");

在本地它工作正常。 但是，当我调试时，chrome中缺少文件。 如果我尝试导航到它，我得到：从客户端（:)检测到一个潜在危险的Request.Path值。

显然我的应用程序认为此图像的URI是可疑的。

我如何让它显示？ 我尝试使用以下方法放松验证：

<httpRuntime requestPathInvalidCharacters="" requestValidationMode="2.0" />
<pages validateRequest="false"></pages>

理想情况下，我不想放松太多的规则，只是足以让这些数据URI图像加载。

Answer 1

我敢打赌，由于Base-64编码的URI，应用程序认为该请求是可疑的。 在Base-64中编码恶意URL是攻击者通过剥离和/或转义URL的前端过滤器获取URL的常见策略，并且模糊了读取代码的任何人的请求。 XSS攻击通常通过将这些URI中的一个存储在数据库中并返回给其他用户来完成。

由于现在XSS的高风险，我会犹豫是否禁用支票。 如果可以，只需使用非编码URI。 如果你做不到，你应该问问自己为什么。 如果您试图通过混淆URI来增强安全性，请确保攻击者解密这一点非常简单。 它不是任何形式的加密，只是表示数据的不同方式。