如何防止代码注入Windows服务器2008 R2 .aspx

我照顾的网站需要遵守PCI准则。在经过很多工作之后，它终于通过了PCI安全检查。最近它又开始失败了。我怀疑这是因为新的测试添加到安全检查。如何防止代码注入Windows服务器2008 R2 .aspx

支票现在抱怨的是代码注入网站的可能性。这是它在对一件事的例子：

http://www.monorep.co.uk/vauxhall/new-vans/?DealergroupId=<aavxhv%20>

如果您使用萤火虫在源代码中查找你会看到它这样做我的代码：

<input name="DealergroupId" type="hidden" value="<aavxhv >">

确定。本身并没有害处，但我可以看到他们在做什么。

他们提供了其他非常类似的例子，但它们都是独一无二的。

你怎么能真正防范这种事情？而且，它有害吗？

在此先感谢。

对不起，我用一下你的页面检查出来，用出来后回来。也许最好从问题中删除你的url，并使HtmlEncode正确的方式。 – Aristos

必须编码的HTML页面上的所有呈现的文本与

HttpContext.Current.Server.HtmlEncode()

所呈现的所有文字来自数据库，根据用户输入，或从其他来源。

例如，你的代码将看起来像

<input name="DealergroupId" type="hidden" value="<%=Server.HtmlEncode(cParametrFromUrl)%>">

2012-09-07 10:21:09 Aristos

有关此主题的大型MS文章位于：http://msdn.microsoft.com/en-us/library/ff649310.aspx – Paddy

抱歉，延迟接受答案。这有助于解决我的问题。非常感谢。 –

回答