HttpRequestValidationException и межсайтовый скриптинг XSS

Question

При использовании HttpRequestValidationException обязательно ли он защищает вас от всех кросс-скриптовых угроз?

Существуют ли ситуации, когда потенциально опасный сценарий может остаться незамеченным?

Answer 1

Нет, короче говоря, нет.Пожалуйста, декомпилируйте его с помощью рефлектора и посмотрите, что он делает.Атака на html-атрибут может быть такой: "onfocus = alert (1) autofocus. В этом нет <или>, но он все еще работает. Пожалуйста, используйте AntiXss и ознакомьтесь с таблицей предупреждений OWASP XSS. Поэтому вам нужно уделять внимание особенно всякий раз, когдаВы используете неэкранированные атрибуты, такие как Literal.

Answer 2

Да, короче говоря, это так. Он не может делать все, что связано с XSS, например контролировать то, что вы делаете с помощью JavaScript (eval()... и т. Д.). Если запрос обрабатывается вашими приложениями ASP.NET, он хорошо работает, всегда есть исключения.