Luka w zabezpieczeniach XSS z PCI RapidComply

Mam witrynę internetową hostowaną na serwerze Apache Tomcat 7, który korzysta z bramy Authorize.net i usług handlowych do obsługi płatności. Niedawno przeprowadziłem wymagany test zgodności PCI z moją witryną i nie powiódł się z powodu luki w zabezpieczeniach Odbicie skryptu krzyżowego (XSS). Podali przykład zastąpienia wartości jednego z moich parametrów formularza skryptem: alert („test”)

Wydaje mi się, że rozwiązałem już ten problem po stronie klienta, sprawdzając poprawność danych wejściowych po przesłaniu formularza i nie kontynuując, jeśli jedno z danych wejściowych jest nieprawidłowe. Jednak ponowne skanowanie ostatnio nie powiodło się, więc myślę, że muszę zrobić więcej.

Moje pierwsze pytanie: czy można przekazać parametry POST do serwera za pośrednictwem adresu URL? Myślałem, że jest to możliwe tylko z metodą GET, której nie używam. Próbuję ustalić, w jaki sposób przesyłają te dane. Ich wsparcie oczywiście nie istnieje, więc sam muszę to rozwiązać.

Czy ktoś miał jakieś doświadczenie z PCI RapidComply? Czego użyłeś, aby rozwiązać problemy z walidacją XSS?

Dzięki!

— Bob.
źródło

Nie można przekazać parametrów POST za pośrednictwem adresu URL, ale nie jest to wymagane w przypadku usterki XSS. Witryna strony trzeciej może wysłać użytkownika do Twojej witryny z dowolnym parametrem POST, jaki chce, za pomocą JavaScript:

<html>
  <body onload="document.forms[0].submit()">
    <form action="https://yoursite.example.com/" method="post">
      <input type="hidden" name="parameter" value="alert('test')">
    </form>
  </body>
</html>

Tak długo, jak atakujący może spowodować, że użytkownik końcowy mający dostęp do Twojej witryny załaduje taki dokument HTML (np. Poprzez iframe umieszczony w sieci reklamowej), może spowodować, że użytkownik uruchomi dowolny skrypt JavaScript na twojej stronie w kontekście (sesja ) tego użytkownika.

Jedynym sposobem, aby temu zapobiec, jest obsługa go po stronie serwera. Ogólnie rzecz biorąc, wszelkie przesłane dane użytkownika powinny zostać zdezynfekowane, a także pamiętaj, aby uciec od wszystkiego podczas wyświetlania HTML. Zwykle ostatnią częścią powinna zajmować się biblioteka szablonów.

— olav
źródło

Tak, to jest poprawne. Uświadomiłem sobie po tym, że możesz po prostu napisać skrypt po stronie klienta, aby przesłać formularz. Czy możesz polecić bibliotekę szablonów do ucieczki z wyjściowego HTML? I czy zazwyczaj jest to wykonywane po stronie serwera?

— Bob.

Ucieczka musi zawsze odbywać się po stronie serwera - do czasu otrzymania danych przez klienta jest już za późno. Jeśli chodzi o silniki szablonów, tak naprawdę nie mam żadnych rekomendacji dla Javy. Google ma wiele sugestii. Muszę powiedzieć, że Pebble wygląda obiecująco wrt. automatyczne wykrywanie .

— olav