内容注入

medium Web App Scanning 插件 ID 113212

语言：

简介

内容注入

描述

内容注入是一种向网页中注入任意字符的攻击。当应用程序未正确处理用户提供的数据时，攻击者可向 Web 应用程序提供内容，通常是通过随后反映在页面中的参数值来进行。此攻击通常通过传输会使用虚假的身份验证测试模式（例如）完全修改目标页面的 URL，作为社交工程攻击或与此攻击结合使用，以窃取用户的标识符。在某些情况下，此攻击还可以直接或间接导致跨站脚本漏洞。

解决方案

如要修补内容注入漏洞，切勿在 HTML 页面的代码中使用不受信任或未经筛选的数据。
不受信任的数据不仅可能来自客户端，还可能来自第三方或先前上传的文件等。
筛选不受信任的数据，这通常涉及将特殊字符转换为其 HTML 实体编码的对应项（但也存在其他方法，请参阅“参考”）。这些特殊字符包括：
* `&` * `<` * `>` * `'` * `'` * `/`
HTML 实体编码的一个示例正在将 `<` 转换为 `<`。
尽管可以筛选不受信任的输入，但 HTML 页面中有五处位置永远不应放置不受信任的输入（即使已被筛选）：
1. 直接在脚本中。2. HTML 注释内部。3. 在属性名称中。4. 在标签名称中。5. 直接在 CSS 中。
其中每个位置都有自己的转义和筛选形式。