Является ли мой метод полностью безопасным для xss

Question

У меня есть чат-сайт, и я хочу знать, безопасен ли он XSS. Позвольте мне объяснить, что такое мой метод.

Я использую этот JQuery код для добавления новых сообщений в экране, которые поступающие от Ajax запроса:

$("#message").prepend(req.msg); 

Я знаю, что уязвима, но сообщения на БД кодируются. Поэтому, когда я отправить это сообщение полезной нагрузки:

<text>TEST</test> 

Он хранится на базе данных кодируются:

<text>TEST</test> 

Я знаю, что сценарий, который в обход .htmlentities() функцию в this ответ. Коротко:

<input value=<%= HtmlEncode(somevar) %> id=textbox> 

Если мы посылаем a onclick=alert(document.cookie) вход в этот HTML код, он будет:

<input value=a onclick=alert(document.cookie) id=textbox> 

Таким образом, в этом случае кодирования < > ; & символы не могут спасти нас. Но я не писал свой код, как это, поэтому я думаю, что я защищен от этой уязвимости. Мой сервер отвечает на JSON как это:

..."msg" : "<tr><td><b>user:<\b> &lt;text&gt;TEST&lt;/test&gt;<\td><\tr>",... 

И я прямо .prepend() в "MSG" данные в страницу. Я думаю, что это полностью безопасно. Хакер должен использовать < > ; & символов для XSS. Я также кодирую \ как \\. Но, может быть, я что-то упустил. Это полностью безопасно?

Answer 1

Нет. Это не так. Способ передачи данных позволяет кому-то вводить неэкранированные HTML-теги. Говорят, что кто-то разместил эту полезную нагрузку:

\u003cscript\u003ealert(1)\u003c/script\u003e 

Это будет введен в базу данных как есть, потому что нет ничего для htmlencode бежать. Однако, когда она помещается в формате JSON, и сказал JSON является разобран, он становится этим:

<script>alert(1)</script> 

и выполняет вредоносный код. Лучшим решением было бы кодирование необработанных данных для JSON, а затем использовать механизм механизма спуска HTML с клиентской стороны.

С выходом на стороне сервера \ в JSON, я думаю, что это полностью безопасно.