如何開始修復網站中的XSS漏洞

Question

我以前從未處理過XSS，但是剛剛收到來自訪客的評論，我的網站存在XSS漏洞。

他很高興向我提供了一個字符串，該字符串激活了顯示用戶Cookie的提示框。 我在此網站和webapp中有很多代碼，如何找到並修復它？ 我從哪里開始？

Answer 1

OWASP還提供了防止此類攻擊的API。 這些API用幾種編程語言編寫。

您可以從此處下載這些API。

您為什么不去下載該API（以您首選的編程語言）並使用它來清理用戶輸入。

Answer 2

減少（而不是停止）XSS漏洞的一種簡單方法是對所有輸出進行HTML編碼。 您還應該清除某人針對XSS漏洞提交的數據。 在.NET平台上，您可以使用antixss庫，在PHP上，您可以使用strip_tags（），無論您使用什么平台，都應該有一些東西，但它們不會達到100％。 並在https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Prevention_Cheat_Sheet中查看OWASP XSS備忘單

XSS可能很棘手，堆棧溢出，Gmail，Outlook Web Access過去都具有XSS漏洞。 但是，如果對所有輸入和輸出都遵循備忘單，則應該可以大大減少問題。 在您的代碼中搜索任何回聲或響應。

<?= ?>, <%= %>

在轉到輸入點之后，查找任何Request.Form或$ _GET或$ _POST，但是您正在獲取數據輸入。