HTML 链接标签的 XSS 漏洞

Question

安全团队在我的网站上进行了漏洞检查，发现有很多 XSS 漏洞。

所有的漏洞都可以分为以下三类：

双引号后包含脚本：对于链接标签，表示可以在href属性的双引号后添加脚本，如下所示：

<link rel = "canonical" href="http://www.unitedforever/about/alliance/?"><script src=as213eS.js>

双引号后的标记：

<link rel = "canonical" href="http://www.unitedforever/about/alliance/?"<a href=javascript:alert(12312)>aa</a>

双引号后的 SVG 标记：

<link rel = "canonical" href="http://www.unitedforever/about/alliance/?"><svg onload=alert(12321)>

谷歌搜索对于如何防止这些类型的漏洞没有太大帮助。有什么建议吗？

Answer 1

• 当您将数据包含在 html 中时，系统地对数据进行编码（最好使用默认情况下为您执行此操作的框架）。 根据上下文进行编码。要将其包含在两个标签之间、属性中或 javascript 中，您需要对其进行不同的编码。这就是为什么您在需要使用它时对其进行编码，而不是在数据库中。

• 使用 CSP（内容安全策略）检测并防止 XSS 在您遗漏某些内容时造成过多的破坏。