Обнаружить, если строка содержит теги javascript, используя jQuery/JavaScript

Question

Я пытаюсь создать очень упрощенную систему обнаружения XSS для системы, которую я сейчас разрабатываю. Система в ее нынешнем виде позволяет пользователям отправлять сообщения с javascript, встроенными в сообщение. Вот то, что я в настоящее время: -

var checkFor = "<script>";
alert(checkFor.indexOf("<script>") !== -1);

Это на самом деле не работает, что хорошо на всех. Мне нужно написать код, который содержит массив, который содержит термины, которые я ищу. [e.g - "<script>","</script>","alert("]

Любые предложения относительно того, как это можно достичь с помощью JavaScript/jQuery.

Спасибо, что проверили это. Большое спасибо :)

Answer 1

Замена символов - очень хрупкий способ избежать XSS. . (Есть десятки способов получить < в без ввода символа - как < Вместо HTML-кодирование данных я использую эти функции:

var encode = function (data) { 
    var result = data; 
    if (data) { 
     result = $("<div />").html(data).text(); 
    } 
}; 
var decode = function (data) { 
    var result = data; 
    if (data) { 
     result = $("<div />").text(data).html(); 
    } 
}; 

Answer 2

Наиболее эффективным способом предотвращения XSS атак является заменой всех <,> и & символы с <, > и &.

В OWASP есть библиотека javascript. Я еще не работал с этим, так что не могу ничего рассказать о качестве. Вот ссылка: https://www.owasp.org/index.php/ESAPI_JavaScript_Readme

Answer 3

Как взрывательные таблетки, если вы ищете межсайтовые эксплойты, вам, вероятно, лучше всего найти тот, который уже был написан, или тот, кто может написать его для вас.

В любом случае, чтобы ответить на вопрос, регулярные выражения не подходят для разбора разметки. Если у вас есть HTML-парсер (на стороне клиента легко, сервер немного сложнее) можно вставить текст в качестве innerHTML в качестве нового элемента, то увидеть, если есть какие-либо дочерние элементы:

function mightBeMarkup(s) { 
    var d = document.createElement('div'); 
    d.innerHTML = s; 
    return !!(d.getElementsByTagName('*').length); 
} 

Конечно, есть все еще может быть разметкой в ​​тексте, просто это недействительно, поэтому не создаются элементы. Но в сочетании с некоторым другим текстом это может быть допустимая разметка.