Как защитить себя от xss?

Question

[shcoderAlex]

Доброго времени суток, дорогие хабражители.

Давно назревал вопрос, о безопасности данных со стороны клиента. Естественно их надо как-то проверять, но как и чем? Если ко мне в посте приходит приличный объект с парой вложенных объектов и с десяток свойств, как их проверить? Перебором? Возможно есть какие-нибудь готовые решения виде модулей.

Спасибо, за внимание.
Хорошего настроения!

Answer 1

[Евгений Попов]

как вариант вот ответ на подобный вопрос.

Answer 2

[pomeo]

XSS это ладно, тут был пост http://www.nearform.com/nodecrunch/release-the-kracken-how-paypal-is-being-revolutionized-by-node-js-and-lean-ux и там мелькнула штука под названием Lusca, но гугл ничего не подсказал.

Answer 3

[Александр Кит]

`Валидаторы и Нормализаторы`. Первое - обычно, для каждой модели у нас отдельный entity (класс) с валидаторами, а так же при получение данных, в пост запросе например, мы их нормализуем - вот похожий ответ.

Answer 4

[xmoonlight]

RegExp-паттерны (нормализатор и далее валидаторы) на стороне сервера.

Answer 5

[MrGroovy]

Межсайтовый скриптинг, это уязвимость выполняемая на стороне пользователя, различают постоянные и непостоянные XSS. В первом случае, это код который злоумышленнику удается внедрить на страницу и он срабатывает когда, пользователь посещает эту страницу. Непостоянные XXS, это URL-ссылка, которая будет содержать вредоносный код.

Самый простой способ защититься, это очищающие фильтры вводимых данных, например

filter_var($url,FILTER_SANITIZE_SPECIAL_CHARS)

Что касается вашего случая, для начала, я бы рекомендовал сначала установить, какие именно формы для заполнения и отправки данных представляют угрозу. Можно создать SQL-инъекцию или внедрить JavaScrip и своровать Cookie сессию администратора. А можно залить специально сконфигурированный файл с полезной нагрузкой и запустить его по средствам эксплойта в устаревшем ПО.

Для того чтобы найти места на сайте уязвимые к XSS и другим уязвимостям попробуй онлайн сканер типа METASCAN. Он покажет слабые места сайта и их в последствии можно будет "закрыть".