Q

用于屏蔽XSS网址的模式，以测试

2012-08-30 38 views 0 likes

0

我将允许用户使用我网站上的链接设置图像。例如个人资料图片和个人资料链接。用于屏蔽XSS网址的模式，以测试

我不会让他们上传图片，但让他们给我一个URL，我会插入到img src。

我想做一些基本检查，以了解有人可能使用我网站的最佳知道的xss模式，但事实是，我没有样本列表来检查我的功能。实际上，即使我编写完整的RFC兼容解析器来检查URL的每个方面，我仍然不知道我应该防范什么。

2012-08-30 gcb

A

回答

1

我会做以下

检查的URI以http：//或https：//
URI打印出来的IMG SRC之前编码URI。

第一个是确保没有javascript :, vbscript：等URLS是允许的。第二个是转义任何字符，可能会导致损坏（如”，”，<，>等）

尚好资源为图案，虽然有点过时：http://ha.ckers.org/xss.html 另一个伟大的资源：http://html5sec.org

2012-09-01 06:41:34 Erlend

1

使用OWASP Zed Attack Proxy（ZAP）扫描。

ZAP是一个免费的开源安全工具，它在发现XSS漏洞非常好。

西蒙（ZAP项目负责人）

2012-09-02 07:55:29

相关问题