轉義<足以防範XSS攻擊

Question

我與我的一位同事就如何通過特定字符編碼防止XSS攻擊展開辯論。用<轉義<字符會訣竅嗎？

當我查看attack vector cheat sheet published by OWASP時，似乎所有攻擊都使用<字符作爲執行的基礎。

如果這不起作用，什麼攻擊會打敗它？

Answer 1

不，對於HTML正文，您還需要對&字符進行編碼，以防止攻擊者潛在逃脫逃逸。

退房的XSS Experimental Minimal Encoding Rules： -

HTML正文（最多HTML 4.01）：

• HTML實體編碼< &

• 指定元標記，以避免UTF7字符​​集XSS

XHTML身體：

• HTML實體編碼< & >

• 限制輸入到charset http://www.w3.org/TR/2008/REC-xml-20081126/#charsets

注意，如果你想進入一個屬性裏面的東西值，那麼你需要正確編碼所有字符無線特別的意義。該XSS (Cross Site Scripting) Prevention Cheat Sheet提及對編碼如下字符： -

&，<，>，"，'，/

您還必須引用屬性值是有效的逃逸。