XSS減緩HTML/VBScript中/經典的ASP

Question

我在我的網頁代碼面臨以下假設的XSS漏洞：

原代碼：<INPUT TYPE=HIDDEN NAME='acctno' VALUE='" &Session("acctno")& "'>

遭到黑客攻擊代碼：<INPUT TYPE=HIDDEN NAME='acctno' VALUE='12345'/><script>alert(98765)</script>

我能減輕這隻需將HTMLEncode添加到值字段中的會話變量？
謝謝。

Answer 1

沒錯。您需要對所有插入到HTML中的文本進行HTML編碼。

您還需要對任何插入到Javascript代碼的文本進行Javascript編碼，並且您需要對插入到URL中的任何文本進行URL編碼。