Microsoft Anti-Cross Site Scripting Library еще один способ защиты от XSS-атак

Атаки XSS (cross-site scripting) на веб-ресурсы не зависят от платформы, среды разработки, веб-сервера или языка программирования. Основа успеха при этой атаки смешивание кода и данных, когда на сайте данные контента формируются в коде, как, например, в следующем примере:

Небольшое введение.

Label1.Text = userName;

<script>alert('attack!');</script>

* This source code was highlighted with Source Code Highlighter.

Label1.Text = Request.QueryString["name"] ?? "Пусто";


httр://some.domain/default.aspx?name= %3D%3C%73%63%72%69%70%74%3E%78%3D%64%6F%63%75%6D%65%6E%74%2E%63%6F%6F%6B%69%65%3B%61%6C%65%72%74%28%78%29%3B%3C%2F%73%63%72%69%70%74%3E


<script>x=document.cookie;alert(x);</script>

* This source code was highlighted with Source Code Highlighter.

Стандартные способы защиты.

Библиотека Microsoft Anti-Cross Site Scripting Library.

Вопросы производительности.

DateTime date1, date2;
date1 = DateTime.Now;

for (int j = 1; j <= 100000; j++)
HttpUtility.HtmlEncode(attack);

date2 = DateTime.Now;
Label1.Text = (date2 - date1).ToString();

date1 = DateTime.Now;

for (int j = 1; j <= 100000; j++)
AntiXss.HtmlEncode(attack);

date2 = DateTime.Now;
Label2.Text = (date2 - date1).ToString();

«Этот текст используется чтобы проверить скорость обработки опасного выражения <script>alert('attack!');</script>. Добавим к строке еще и текста написанного в таком виде %3D%3C%73%63%72%69%70%74%3E%78%3D%64%6F%63%75%6D%65%6E%74%2E%63%6F%6F%6B%69%65%3B%61%6C%65%72%74%28%78%29%3B%3C%2F%73%63%72%69%70%74%3E»

«%3D%3C%73%63%72%69%70%74%3E%78%3D%64%6F%63%75%6D%65%6E%74%2E%63%6F%6F%6B%69%65%3B%61%6C%65%72%74%28%78%29%3B%3C%2F%73%63%72%69%70%74%3E»

«Этот текст используется чтобы проверить скорость обработки опасного выражения <script>alert('attack!');</script>.»

«<script>alert('attack!');</script>»

Выводы.

Источник: http://habrahabr.ru/a>