HTML / VBScript /經典ASP中的XSS緩解

Question

我的網絡代碼中面臨以下假設的XSS漏洞：

原始代碼： <INPUT TYPE=HIDDEN NAME='acctno' VALUE='" &Session("acctno")& "'>

被黑的代碼： <INPUT TYPE=HIDDEN NAME='acctno' VALUE='12345'/><script>alert(98765)</script>

我可以簡單地通過將HTMLEncode添加到value字段中的session變量來減輕這種情況嗎？
謝謝。

Answer 1

究竟。 您需要對所有插入HTML的文本進行HTML編碼。

您還需要對插入到Javascript代碼中的所有文本進行Javascript編碼，並且需要對插入到URL中的所有文本進行URL編碼。