Как избежать XSS-атак с запросами GET и автоматизировать IP-адреса, нарушающие правила, в черный список IP-адресов в IIS?

Я заметил некоторые попытки XSS на некоторых из наших сайтов из-за того, что некоторые старые URL вызывали ошибки. т.е. http://www.mysite.com/[some старое ключевое слово]/searchterm .

Эти сайты являются сайтами MVC3, и, насколько я понимаю, использование токена защиты от подделки подходит только для запросов POST.

Я не думаю, что хочу ограничивать все запросы URL-адресами, поскольку некоторые из них могут быть действительными запросами (например, GoogleCrawler).

Какие есть способы избежать/предотвратить XSS-атаки в этом сценарии?

Если у меня есть IP-адреса-нарушители, есть ли способ использовать APPCMD для добавления IP-адресов в список DENY в IIS, аналогичный решение с использованием APPCMD для добавления новых веб-сайтов в IIS на основе списка?

Я спрашиваю, потому что замечаю несколько IP-адресов, пытающихся атаковать межсайтовые скрипты на нескольких наших сайтах. Я хотел бы создать их список (и, возможно, прочитать список откуда-нибудь, например http://www.ipfraudreporter.com) и загрузите их на наш сервер.


get-request asp.net-mvc-3 xss iis-7.5 appcmd
person ElHaix    schedule 20.03.2012    source источник

Ответы (1)


arrow_upward
0
arrow_downward

Блокирование XSS в большинстве случаев является проблемой кодирования вывода, а не проблемой ввода. Если вы, например, разрешаете только буквенно-цифровые символы, вы можете остановить это, используя очень строгую проверку ввода на основе белого списка, но в большинстве случаев речь идет о правильном кодировании вывода для данного контекста. См. памятку по предотвращению XSS-атак OWASP в сокращенном виде.

Что касается запрета IP-адресов, это звучит так: я не уверен, что это возможно в вашей среде. Это может быть добавление их в брандмауэр или IP-адреса или написание HttpModule, который блокирует входящие запросы для списка запрещенных IP-адресов.

person Erlend    schedule 21.03.2012