ASP.NET Anforderung Validierung mit HTML codierte Zeichen

Ich habe eine textbox in einer form, die Eingaben zu übernehmen, die mit HTML-tags.

Einreichen der Eingabe mit HTML-tags in die app werfen HttpRequestValidationException, es sei denn, wir verwenden HttpUtility.HtmlEncode. Einfach so weit.

Jedoch, die Eingabe kann auch Symbole enthalten, wie z.B. das "Grad" symbol (°). Wenn diese sind auch HTML-codiert, Sie werden numerische escape-codes, in diesem Beispiel °. Diese codes können auch dazu führen HttpRequestValidationException geworfen werden, aber die Frage ist, warum?

Ich kann nicht sehen, warum numerischen escape-codes gedacht sind, als potentiell gefährlich, vor allem als ° arbeitet als Eingabe nur in Ordnung.

Ich scheinen fest zu sein, wie das verlassen der Eingang ist nicht aufgrund der tags und HTML-Kodierung der Eingabe schlägt fehl, aufgrund der numerischen entweicht. Meine Lösung war bisher die HTML-Codierung, dann regex ersetzen Sie die escape-Sequenzen, die mit Ihren HTML-dekodiert Formen, aber ich bin mir nicht sicher, ob dies eine sichere Lösung, wie ich vermute, der escape-Sequenzen gelten als gefährlich für einen Grund.

InformationsquelleAutor jonnystoten | 2010-09-20
  1. 3

    Dies ist aufgrund ASP.NET builtin Cross-Site-Scripting validierungsfunktionen. Es ist eine Art Liste, was erlaubt ist und was nicht durch ASP.NET hier SO: ASP.NET Validierung Anforderung bewirkt: gibt es eine Liste?

    Auf den spezifischen Fall von # codierten Zeichen, es ist eine komplette Referenz über XSS-Angriffe finden Sie hier: XSS (Cross Site Scripting) Cheat Sheet, die zeigen, wie Komplex diese Angriffe werden können, und warum codierte Zeichen sind verboten.

    • Danke, der Letzte link war genau das was ich brauchte.
    InformationsquelleAutor Simon Mourier
  2. 5

    ASP.NET Ansicht html-char entweicht (&#xxx) gefährlich für den gleichen Grund Sie der Auffassung Spitzen Klammer gefährlich also XSS. Mit den oben entweichen können beliebige Zeichen (zum Beispiel Spitzen Klammer). Hier ist Zusammenfassung, was request-Validierung wird in 1.1 und 2.0.

    In begründeten Fällen wie Ihrem Fall, Sie können wählen Sie eine der unten

    1. Wählen Sie Ihre Behandlung, wie von Ihnen beschrieben,
    2. Deaktivieren der Anforderung die Validierung zur Seite
      Ebene (<%@ Page
      validateRequest="false")
    3. In .NET 4, ersetzen Sie Ihre eigenen Wunsch-Validierung mit RequestValidator Klasse.
    • Sicher, aber warum ist einfacher zu zählen Spitzen Klammern mit sagen &#60; als &lt; oder nur in ein <, und es wird HTML-codiert zu &lt'?
    InformationsquelleAutor VinayC
  3. 0

    Lesen Sie die Übersicht Über Skriptangriffe in der msdn-Hilfe.

    Wenn Sie sicher sind, dass Sie behandeln alle möglichen bösartigen code, die Eingabe in Ihre Seite, dann können Sie die überprüfung deaktivieren mit <%@ Page validateRequest="false" %> Richtlinie.

    InformationsquelleAutor jmservera
  4. 0

    Ich würde vorschlagen, auf der Suche zu tun, beschränkt html-Codierung, die auf der client-Seite wird ganz ein Kinderspiel zu tun mit jquery-durch die Bindung-Verarbeitung für ein Formular Absenden.

    Was meine ich mit "eingeschränkt"? Kaufmännische und-Zeichen, Spitze Klammern und Anführungszeichen werden sollte codiert werden, aber nicht die unicode-Symbole. Sie wies darauf hin, dass in der Tat, numerische escape-codes sind böse und bekommen abgelehnt, im Gegensatz zu Ihren unescaped äquivalente!

    Man könnte den string, du bist der Einreichung durch eine javascript-Funktion ähnlich wie der folgende code, geben Sie einen Wert, der bestehen würde, Validierung Anforderung:

    function safeString(s) {
    return s.replace(/&/g,"&amp;").replace(/</g,"&lt;").replace(/>/g,"&gt;").replace(/"/g, "&quot;");
}

    Dadurch können Sie manchen Kummer, wenn nach dem speichern, oder einige server-side-Magie mit dem übermittelten Wert, Sie wollen re-zeigen Sie Sie in der Eingabe ist. Lassen Sie mich aufwendige: wenn Sie einfach eine Zeichenfolge codiert, die den Weg in einen leeren Absatz, machen wird es perfekt; jedoch, wenn Sie es dump in einem textarea-Komponente, werden Sie sehen, &lt; statt <

    Ironischerweise, beim verfassen des letzten Satzes musste ich geben &amp;lt; und &lt; jeweils...

    InformationsquelleAutor o.v.
  5. -2

    Fügen Sie einfach in Ihre Seite Richtlinie (erste Zeile der Seite) dieses Attribut:

    ValidateRequest="false"

    • nur ein wichtiger Hinweis, damit Ihr die Seite anfällig für Angriffe, so sollten Sie ersetzen Sie alle nicht benötigten tags für quer-Seite scripting.
    • Diese Antwort hat der security-Risiken im Zusammenhang mit es
    • Ich weiß, ich sagte, dass in meinem Kommentar oben.hast du es gelesen?
    • Ja ... Genau stimmt mit dir überein (ich unten stimmte es)
    InformationsquelleAutor Ali Issa
Schreibe einen Kommentar