在剑道数据源请求对象中反映XSS

Question

我们在Kendo网格数据填充的控制器中有以下操作

public ActionResult GetCompanyDetails([DataSourceRequest] DataSourceRequest request)
{
   var companyDetails = BusinessLayer.GetCompaniesDetail();
   return Json(companyDetails.ToDataSourceResult(request), JsonRequestBehavior.AllowGet);
}

在运行检查marx扫描时，已识别出上述方法是否存在反射型 XSS 漏洞。

wxy/XYZ/Controllers/ABC controller . cs第1行的方法GetCompanyDetails获取请求元素的用户输入。然后，此元素的值在没有经过适当清理或验证的情况下流经代码，并最终在wxy/XYZ/Controllers/ABC controller . cs的第4行的方法GetCompanyDetails中显示给用户。这可能会导致跨站点脚本攻击。

如何清理DataSourceRequest对象以修复此XSS问题？

Answer 1

Kendo.Mvc。UI网格组件通过在呈现期间对内容进行编码来尽最大努力防止XSS问题。默认情况下，网格对单元格中显示的内容进行编码，这意味着如果用户提交了脚本，脚本将不会执行，但将显示为标准文本。请记住，可以通过设置列来禁用此编码。编码配置为false

columns.Bound(bank => bank.Website).Filterable(false).Encoded(false);

由于以下内容类型，建议的反射XSS漏洞完全不能被现代浏览器利用:

return Json(model.ToDataSourceResult(request), "application/json", System.Text.Encoding.UTF8, JsonRequestBehavior.AllowGet);

Answer 2

我推荐阅读：OWASP备忘单验证。

是的，您需要验证您拥有的所有数据、格式和类型。在应用清理之前，您可能需要解析String的每个元素并将每个元素转换为一个String。另一个解决方案可能只是对companyDetails.ToDataSourceResult（request）的结果进行编码。这场比赛只有XSS。

但最好的解决方案是

1. 验证
2. 编码

这次再次战斗注射和XSS