內容插入

medium Web App Scanning Plugin ID 113212

語系：

概要

內容插入

說明

內容插入是一種將任意字元插入網頁的攻擊。如果應用程式未正確處理使用者提供的資料，攻擊者就可以提供內容給 Web 應用程式，通常是透過隨後會在頁面中反映出來的參數值提供。此攻擊通常作為社交工程使用，或與社交工程結合使用，方法是傳輸使用偽造的驗證測試模式等完全修改目標頁面的 URL，達到竊取使用者識別碼的目的。在某些情況下，此攻擊也可直接或間接導致跨網站指令碼攻擊或用戶端 JSON 插入。

解決方案

為了修復內容插入弱點，請勿在 HTML 頁面的程式碼中使用不受信任或未經篩選的資料。
不受信任的資料不只源自用戶端，也可能源自第三方或先前上傳的檔案等。
篩選不受信任的資料通常涉及將特殊字元轉換為其 HTML 實體編碼對應項 (不過也有其他方法，請參閱參考資料)。這些特殊字元包括：
* `&` * `<` * `>` * `'` * `'` * `/`
將 `<` 轉換為 `<` 是 HTML 實體編碼的範例。
雖然可以篩選不受信任的輸入，但 HTML 頁面中有五個位置不應放置不受信任的輸入 (即使已經過篩選)：
1. 直接在指令碼中放置。 2. 在 HTML 註解內放置。 3. 在屬性名稱中放置。 4. 在標籤名稱中放置。 5. 直接在 CSS 中放置。
這些位置中的每一個都有自己的逸出和篩選形式。