本文目录一览：

• 1、ASP网站的XSS跨站漏洞出现原因及解决办法？
• 2、ASP、PHP网站如何根治XSS跨站？
• 3、asp网站如何防止XSS攻击
• 4、asp项目中如何防止xss攻击

ASP网站的XSS跨站漏洞出现原因及解决办法？

Xss漏洞主要利用的是把输出的内容信息转化成脚本信息，这就需要把输出信息做过滤，这方面的过滤API可以考虑OWASP的ESAPI。这个API有面向ASP的版本，去OWASP官网去找吧。

恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。

ASP

漏洞代码示例：

%

Dim param

Set param=Request.QueryString(“dd”)

response.write param

%

修复范例：

%

Dim param

Set param=Request.QueryString(“dd”)

response.write Server.HTMLEnCode(param)

%

PHP

漏洞代码示例：

?php

$aa=$_GET['dd'];

echo $aa.”123″;

?

修复范例：

?php

$aa=$_GET['dd'];

echo htmlspecialchars($aa).”123″;

?

ASP、PHP网站如何根治XSS跨站？

避免XSS的主要方法是将用户所提供的内容输入输出进行过滤，许多语言都有提供对HTML的过滤：可以利用下面这些函数对出现xss漏洞的参数进行过滤

PHP的htmlentities()或是htmlspecialchars()，Python的cgi.escape()，ASP的Server.HTMLEncode()，ASP.NET的Server.HtmlEncode()或功能更强的Microsoft Anti-Cross Site Scripting Library，Java的xssprotect(Open Source Library)，Node.js的node-validator。

asp网站如何防止XSS攻击

asp中防止xss攻击的方法如下：

确保所有输出内容都经过 HTML 编码。

禁止用户提供的文本进入任何 HTML 元素属性字符串。

根据 msdn.microsoft.com/library/3yekbd5b 中的概述，检查 Request.Browser，以阻止应用程序使用 Internet Explorer 6。

了解控件的行为以及其输出是否经过 HTML 编码。如果未经过 HTML 编码，则对进入控件的数据进行编码。

使用 Microsoft 防跨站点脚本库 (AntiXSS) 并将其设置为您的默认 HTML 编码器。

在将 HTML 数据保存到数据库之前，使用 AntiXSS Sanitizer 对象（该库是一个单独的下载文件，将在下文中介绍）调用 GetSafeHtml 或 GetSafeHtmlFragment；不要在保存数据之前对数据进行编码。

对于 Web 窗体，不要在网页中设置 EnableRequestValidation=false。遗憾的是，Web 上的大多数用户组文章都建议在出现错误时禁用该设置。该设置的存在是有原因的，例如，如果向服务器发送回“X”之类的字符组合，该设置将阻止请求。如果您的控件将 HTML 发送回服务器并收到图 5 所示的错误，那么理想情况下，您应该在将数据发布到服务器之前对数据进行编码。这是 WYSIWYG 控件的常见情形，现今的大多数版本都会在将其 HTML 数据发布回服务器之前对该数据进行正确编码。

对于 ASP.NET MVC 3 应用程序，当您需要将 HTML 发布回模型时，不要使用 ValidateInput(false) 来关闭请求验证。只需向模型属性中添加 [AllowHtml] 即可，如下所示：

public class BlogEntry

{

public int UserId {get;set;}

[AllowHtml]

public string BlogText {get;set;}

}

asp项目中如何防止xss攻击

asp中防止xss攻击的方法如下：

确保所有输出内容都经过 HTML 编码。

禁止用户提供的文本进入任何 HTML 元素属性字符串。

根据 msdn.microsoft.com/library/3yekbd5b 中的概述，检查 Request.Browser，以阻止应用程序使用 Internet Explorer 6。

了解控件的行为以及其输出是否经过 HTML 编码。如果未经过 HTML 编码，则对进入控件的数据进行编码。

使用 Microsoft 防跨站点脚本库 (AntiXSS) 并将其设置为您的默认 HTML 编码器。

在将 HTML 数据保存到数据库之前，使用 AntiXSS Sanitizer 对象（该库是一个单独的下载文件，将在下文中介绍）调用 GetSafeHtml 或 GetSafeHtmlFragment；不要在保存数据之前对数据进行编码。

对于 Web 窗体，不要在网页中设置 EnableRequestValidation=false。遗憾的是，Web 上的大多数用户组文章都建议在出现错误时禁用该设置。该设置的存在是有原因的，例如，如果向服务器发送回“X”之类的字符组合，该设置将阻止请求。如果您的控件将 HTML 发送回服务器并收到图 5 所示的错误，那么理想情况下，您应该在将数据发布到服务器之前对数据进行编码。这是 WYSIWYG 控件的常见情形，现今的大多数版本都会在将其 HTML 数据发布回服务器之前对该数据进行正确编码。

对于 ASP.NET MVC 3 应用程序，当您需要将 HTML 发布回模型时，不要使用 ValidateInput(false) 来关闭请求验证。只需向模型属性中添加 [AllowHtml] 即可，如下所示：

public class BlogEntry

{

public int UserId {get;set;}

[AllowHtml]

public string BlogText {get;set;}

}