DGKumar Ответов: 1

Как предотвратить уязвимость url-адреса в ASP.NET


Я сканирую свое приложение галочкой там немногие строки получают как отраженную уязвимость XSS с проблемой безопасности высокого уровня

Ниже приведен пример уязвимости
Строка fromURL= "https://www.mySite.com?id=7878&name=uname";
Ответ.Перенаправление(fromURL);

Что я уже пробовал:

Я пробовал использовать HttpUtility.Функция htmlencode
String fromURL= "https://www.mySite.com?id=7878&name=uname";
   Response.Redirect(HttpUtility.HtmlEncode(fromURL));


Не могли бы вы помочь с этим типом уязвимостей Url-адресов

F-ES Sitecore

Если это действительно ваш код, то там нет никакой уязвимости, поэтому вы должны использовать соответствующие атрибуты, чтобы ваша проверка кода игнорировала эту ошибку для этого бита кода. Если это на самом деле не точный код, или уязвимость на самом деле находится в другом месте (например, " / " ВКЛ mysite.com), то мы не можем помочь вам исправить уязвимости в коде, который Вы нам не показали, поэтому вам нужно будет обновить свой вопрос, чтобы показать фактический код.

DGKumar

привет
https://www.mySite.com?id=7878&name=uname
после кодирования вышеуказанного url-адреса я получаю следующий url-адрес
https%3A%2F%2Fwww.mySite.com%3Fid%3D7878%26name%3Duname

Sandeep Mewara

Случайно вы не на ASP.NET MVC 1 или 2?

Sandeep Mewara

Также,
Выше URL-адрес перенаправления точно такой же, где возникает уязвимость XSS, или есть другой url-адрес?

1 Ответов

Рейтинг:
0

Sandeep Mewara

Взгляните на это: Непроверенные редиректы и форварды - серия шпаргалок OWASP[^]

Раздел "опасные перенаправления URL-адресов"

Цитата:
ГАДЮКА.Веб-сайты NET MVC 1 & 2 особенно уязвимы для атак с открытым перенаправлением. Чтобы избежать этой уязвимости, вам необходимо применить MVC 3.

Код для действия входа в систему в ASP.NET приложение MVC 2 показано ниже. После успешного входа в систему контроллер возвращает перенаправление на returnUrl. Вы можете видеть, что проверка по параметру returnUrl не выполняется.


Раздел "безопасное перенаправление URL-адресов":
Цитата:
Ответ.Перенаправление("~/folder/Login.aspx")


Подробности: Предотвращение Открытых Атак Перенаправления (C#) | Microsoft Docs[^]