使用OWASP ESAPI时是否需要启用规范化？

Question

我们正在将ESAPI2.x(owasp java安全库）添加到一个应用程序中。

Validator instance = ESAPI.validator();
Assert.assertTrue(instance.isValidInput("test", "[e-mail]", "Email", 100, false));

Validator.Email=^[A-Za-z0-9._%'-]+@[A-Za-z0-9.-]+\\.[a-zA-Z]{2,4}$

有人能展示一个通过使用规范化来防止的攻击样本吗？？（爪哇语）

谢谢！

Answer 1

以下是几千个可能的例子中的一个：

以这个简单的XSS输入为例：

<script>alert('XSS');</script>
//Now we URI encode it:
%3Cscript%3Ealert(%27XSS%27)%3B%3C%2Fscript%3E

//Now we URI encode it again:

%253Cscript%253Ealert(%2527XSS%2527)%253B%253C%252Fscript%253E

对已经编码过一次的输入进行规范化将得到原始输入，但是在ESAPI的情况下，第三个输入将抛出IntrusionException，因为从来没有一个有效的用例将用户输入进行多次URI编码。在这个特定的示例中，规范化意味着“所有URI数据都将被简化为其实际的字符表示形式”。顺便说一句，ESAPI实际上不仅仅是做URI解码。如果您希望使用正则表达式执行安全性和/或业务验证，这一点非常重要--正则表达式是大多数应用程序中的主要用途。

We are not encoding output given that after the input validation, data becomes trusted.

$=''|'',_=$+!"",__=_+_,___=__+_,($)[_$=($$=(_$=""+{})[__+__+_])+_$[_]+(""+_$[-__])[_]+(""+!_)[___]+($_=(_$=""+!$)[$])+_$[_]+_$[__]+$$+$_+(""+{})[_]+_$[_]][_$]((_$=""+!_)[_]+_$[__]+_$[__+__]+(_$=""+!$)[_]+_$[$]+"("+_+")")()

在保护XSS方面，进行输出编码实际上比进行输入过滤更重要。（如果让我选一个...）

在web开发中，您希望遵循的模式是，来自外部世界的任何输入在任何时候都被视为恶意输入。您可以在任何时候将代码传递给动态解释器。