如何通过checkmarx分析工具禁用代码中存储的跨站点脚本？

Question

我从检查玛克斯那里得到了以下安全漏洞。

酒精跟踪器网络应用程序/酒精跟踪器网络应用程序/控制器/家庭控制器.cs从数据库中获取 ToList 元素的数据。然后，此元素的值在未经正确过滤或编码的情况经代码，并最终在方法 SubmitEventReque 请求中显示在酒精跟踪器网络应用/酒精跟踪器WebApp/控制器/家庭控制器.cs的第 20 行中。这可能会使存储的跨站点脚本攻击成为可能。

public ActionResult SubmitEventRequest()
{
    AlcoholTrackerContext db = new AlcoholTrackerContext();
    string winlogin = System.Security.Principal.WindowsIdentity.GetCurrent().Name;
             
    var intname = winlogin.Substring(winlogin.LastIndexOf('\\') + 1);
    ViewBag.IDSID = intname;
    var name = db.WorkerInfoes.FirstOrDefault(a => a.IDSID.Equals(intname));
    ViewBag.name = name.FirstName + " " + name.LastName;
    ViewBag.WWID = name.OrgUnitDescr;
    ViewBag.ConsumptionMethod = db.AlcoholConsumptions;
    ViewBag.ConsumptionMethod = new SelectList(db.AlcoholConsumptions, "AlcoholConsumptionId", "ConsumptionMethod");
             
    return View(new Event());
}

如果我在下面使用

ViewBag.ConsumptionMethod =
    new SelectList(HttpUtility.HtmlEncode(db.AlcoholConsumptions), "AlcoholConsumptionId", "ConsumptionMethod");

但是通过上述修复，我在Razor视图中为下拉列表收到错误：

@Html.DropDownListFor(model => model.AlcoholConsumptionId,
    ViewBag.ConsumptionMethod as IEnumerable<SelectListItem>,
    "---Please Select---",
    new {
            id = "AlcoholConsumptionMethod",
            @class = "form-control-new",
            style = "margin-left:-788px;margin-top:20px;width:20.5%"
        }
)

视图中出错:数据绑定:“系统。“Char”不包含名为“AlcoholConsumptionId”的属性。

Answer 1

< code>db。AlcoholConsumptions的类型为< code>IEnumerable，对< code>IEnumerable进行HTML编码不会产生您期望的结果，也不会返回SelectList接受的< code>IEnumerable

不过，使用Razor视图会自动编码数据（除非您使用Html.Raw），因此您可以删除HttpUtility.HtmlEncode，但Checkmarx会看到您没有显式调用，因此您可以取回XSS。

在将< code > alcohol consumption id 添加到< code>db之前，HTML对其进行编码。酒精消耗量。