Bir müşteri web sitesinde Zengin Metin Düzenlemesi gerektirdiğinde ne yaparsınız?

Hepimizin bildiği gibi, XSS saldırıları tehlikelidir ve çekilmesi gerçekten kolaydır . ASP.NET MVC'nin yaptığı gibi çeşitli çerçeveler HTML kodlamayı kolaylaştırır:

<%= Html.Encode("string"); %>

Ancak, müşteriniz içeriklerini doğrudan bir Microsoft Word belgesinden yükleyebilmesini isterse ne olur?

İşte senaryo: İnsanlar Microsoft Word'deki içeriği kopyalayıp bir WYSIWYG düzenleyicisine (bu durumda tinyMCE ) yapıştırabilir ve sonra bu bilgiler bir web sayfasına gönderilebilir.

Web sitesi herkese açık, ancak yalnızca bu kuruluşun üyeleri bir web sayfasına bilgi gönderme erişimine sahip olacak.

Bu gereksinimleri nasıl güvenli bir şekilde ele alabilirim? Şu anda müşterinin gönderdiği mesajlar üzerinde hiçbir kontrol yapılmadı (yalnızca 'güvenilir' kullanıcılar gönderebildiğinden), ancak bundan özellikle memnun değilim ve bir hesabın saldırıya uğraması durumunda daha fazla kilitlemek istiyorum.

Bu gereksinimleri karşıladığının farkında olduğum tek kavramsal yöntem HTML etiketlerini beyaz listeye eklemek ve bunların geçmesine izin vermektir . Başka bir yol var mı? Değilse, Kullanıcının Veritabanında herhangi bir biçimde veri depolamasına izin vermenin güvenli bir yolu nedir, ancak yalnızca doğru etiketlenmiş ve bozuk etiketlerden arındırılmış olarak görüntülenmesi nedir?

İlgili soru

Siteler Arası Komut Dosyalarını Önleme (XSS)

(Bir geliştirici olarak sizin için) en kolay yolu birçok varyasyonu birini uygulamaya muhtemelen Markdown örneğin Markdown.NET , ya da daha iyi (IMHO) dmw-editörü .

Ardından, kullanıcılarınız basit HTML yapıştırabilir, ancak tehlikeli bir şey olmaz ve girilen verilerini önizleyebilir ve yayınlamadan önce bile herhangi bir karışıklığı düzeltebilir ...

Beyaz liste, kullanıcıların doğrudan veya bir Zengin Metin Düzenleyicisi kullanarak HTML girmesine izin verirken XSS saldırılarını önlemenin en iyi yoludur.

Diğer sorularınız hakkında:

Anında beyaz listeye ekleme yeteneğini içeren bir WYSIWYG editörü var mı?

Bunun işe yarayacağını sanmıyorum. Bunun için sunucu tarafı koduna ihtiyacınız vardır ve RTE istemcide çalışır.

TinyMCE isterseniz etiketleri filtreler, ancak bu tarayıcıda gerçekleştiği için buna güvenemezsiniz. Bkz extended_valid_elements . TinyMCE (Moxie) de beyaz listeyi önerir, buraya bakın .

Sadece 'özel ilan' için olacağından endişelenmeli miyim

Belirli olmayan nedenler (çok nadir) olmadığı sürece HTML'yi her zaman filtrelemeniz gerekir. Bazı nedenler: a) bugün dahili kullanıcılar için olan işlev, belki yarın halk için) b) yetkisiz erişimin daha az etkisi olacaktır

herhangi bir biçimde veritabanında depolamak için izin vermenin en iyi yolu, ancak yalnızca düzgün kodlanmış ve kötü etiketlerden sıyırılmış görüntülemek?

Ben bunu tercih ederim. Çeşitli nedenlerle veritabanına eklemeden önce kullanıcı girişini değiştirmek istemiyorum.

Ben de aynı şeyi yapıyorum. TinyMCE kullanıyorum ve Word belgelerinden yapıştırmaya izin veriyorum. Yalnızca siteyi koruyan belirli kişiler bunu bir yönetici alanı aracılığıyla yapabilir. Bu ASP.Net Üyeliği tarafından güvence altına alınmıştır. Genel siteye gönderildiğinde HTML.Encode yapıyorum basit.

İsterseniz veritabanına koymadan önce aşağıdaki kodu kullanabilirsiniz, ancak hangi vuruşun sizi etkileyeceğinden emin değilsiniz. Beyaz listenizle gitmeniz gerekebilir.

 /// <summary>
    /// Strip HTML
    /// </summary>
    /// <param name="str"></param>
    /// <returns></returns>
    public static string StripHTML(string str)
    {
        //Strips the HTML tags from strHTML 
        System.Text.RegularExpressions.Regex objRegExp = new System.Text.RegularExpressions.Regex("<(.|\n)+?>");

        // Replace all tags with a space, otherwise words either side 
        // of a tag might be concatenated 
        string strOutput = objRegExp.Replace(str, " ");

        // Replace all < and > with < and > 
        strOutput = strOutput.Replace("<", "<");
        strOutput = strOutput.Replace(">", ">");

        return strOutput;
    }

Seçeneklerden biri .NET için HTML Düzenleme Denetimi (yazdığım) olabilir.

.NET için yalnızca HTML öğelerinin bir alt kümesini destekleyen bir WYSIWYM HTML düzenleyicisidir hariç <script>: bu şekilde bir beyaz liste görevi görür.

Dahili kullanım içinse (yani bir intranet sitesi), kontrol bir web sayfasına gömülebilir .

Word'den yapıştırma desteği entegre etmedim, ancak bu yönde bir adım olan bir bileşenim var: Doc to HTML converter ; Bu yüzden, bir dokümanı HTML'ye dönüştürmek, HTML'yi düzenleyicide görüntülemek için ASP.NET'te kullanabileceğiniz yapı taşları var.

IMHO'm herkese açık olana kadar kullanıcılarınıza güvenmeye devam ediyor.

İhtiyaçlarınızı karşılamanın güvenilir bir yolu yoktur. Örneğin, herhangi bir WYSIWYG düzenleyicisi, URL ekleyen görüntüleri (dolaylı kullanım parçası, yasa dışı içerik) veya metinle (geçersiz metin, yanlış yazılmış metin, yanlış boyutlandırılmış metin) koruyamaz.

Benim açımdan, kullanıcılarınıza güvenebiliyorsanız, her şeye izin vermeniz yeterlidir, sadece tehlikeli hatalar BİLİNİYOR (kullanıcıları hatalardan korumak için).

Güvenmiyorsanız, bir tür özel işaretleme kullanın (örn. İşaretleme).

Projemde potansiyel olarak tehlikeli içerik için özel türler ve bu tür içeriği oluşturmak ve kabul etmek için özel yöntemler kullanıyoruz. Bu kodun iplik modelimizde yüksek işareti vardır ve buna çok dikkat edilir (örneğin her değişiklik iki bağımsız kodlayıcı tarafından gözden geçirilmelidir, kapsamlı test paketimiz vb.).