ASP e JAVASCRIPT

[giviglie]

Ciao sto facendo delle prove contro il XSS per alcuni siti.
In pratica invio degli script in qualche modo alle pagine...
Comunque dopo essere riuscito a evitare script del tipo
<script>alert(document.cookie)</script> o eventuali reindirizzamenti
ho questo problema.
Premetto: non conosco molto javascript...

In pratica durante il load di una pagina asp scateno una funzione in javascript (non scritta da me.)

Il problema è questa funzione si richiama un parametro tramite una request.form("mioparametro").
Stavo testando proprio il XSS su questo parametro...

In pratica se sostituisco a "mioparametro" una stringa del tipo <script>alert()</script> la funzione si impalla e in testa alla pagina web appare l'ultima parte della funzione che avevo scritto come se il browser la interpretasse come testo semplice html

Vi posto la mia funzione



function seleziona(){

if ("<%=mioindirizzo%>" == "dove.asp" || "<%=mioindirizzo%>" == "doverisultato.asp" ){
var prov = "<%=request.form("mioparametro") %>";
for (var i=0; i < document.province.provincia.options.length; i++){
if (document.province.provincia.options(i).value == prov){
document.province.provincia.options(i).selected = true;
}
}
}
}

In pratica vorrei poter creare una funzione o qualcosa che utilizzi i classici metodi di escaping. Io ho questa funzione

public static String forScriptTagsOnly(String aText){
String result = null;
Matcher matcher = SCRIPT.matcher(aText);
result = matcher.replaceAll("&lt;SCRIPT>");
matcher = SCRIPT_END.matcher(result);
result = matcher.replaceAll("&lt;/SCRIPT>");
return result;
}

ma non saprei come tradurla e utilizzarla in javascript in questo mio caso.

Grazie a chi mi volesse dare una mano...

Davemustaine

[Marcolino's]

Ma guarda che è un problema ASP principalmente, nel senso che tutto ciò che devi fare è un parsing di ciò che mandi alla request.form().
Poi che gli passi il classico <script>alert('Boom!');</script> o qualcosa di più complesso poco importa. Quello che importa è che non passi nulla che abbia dei tag di apertura e/o chiusura, in quel caso la request deve cancellare tutto o comunque non accettare nulla!
Indipendentemente se ciò che passi è valido o meno, dato che XSS si può fare anche con una stringa in purissimo html, ad esempio sfruttando i bugs dell'elemento <IMG> che accetta nel source (src="") anche una pagina in un qualche linguaggio lato server o altro HTML, tanto per citare.
Non conosco ASP, l'ho studiato tanti anni fa poi sono passato al PHP, lì ci sono funzioni e filtri che fanno questo, cioè filtrare l'input dell'utente, credo che anche ASP abbia qualcosa di simile, sarebbe pazzesco se non l'avesse!

[Mizushi]

crossposting !!!!

http://forum.html.it/forum/showthrea...readid=1285231

VVoVe: