如何在应用程序中处理脚本攻击

Question

我们正面临着javascript嵌入到邮件正文中的问题， 以下是javascript的代码片段，

  

} {* \ htmltag241 var   DanaShimData =“var DSJsFuncs =   ，空,,,, [{纳米：\ “刷新\”，lcnm：\ “刷新\”，FLG：0XB}，{纳米：\   \ “安装\”，FLG：0xf}，{纳米：\ “writeln \”，FLG：0x3F的}，{纳米：\   “GotoURL \   \”，FLG：0xe}，{纳米：\ “AddRoot \”，lcnm：\ “addroot \”，FLG：0XB}，{纳米：\   \ “使用loadURL \”，lcnm：\ “使用loadURL \”，FLG：0XB}，{纳米：\“​​addRule \   ” FLG：0xf}，   {纳米：\ “postURL \”，lcnm：\ “posturl \”，FLG：0×12}，{纳米：\   “替换\ \”，flg：0x12f}，]，[{

如果你观察到这样的情况，有谁能告诉我们/ 的调查结果。

任何帮助表示赞赏。

谢谢， Sudipta Ghosh

Answer 1

尝试使用HTMLCodeFormat()或HTMLEditFormat()。

请参阅docs。

Answer 2

有一个名为'AntiSammy'的项目（http://www.antisamy.net/），它使用文件来对抗由Slashdot和eBay等大型网站提供的XSS攻击。您可能需要查看提取AntiSammy代码以帮助您。

以下是Peter Freitag关于使用AntiSammy而不使用ColdBox的帖子。 http://www.petefreitag.com/item/760.cfm

以下是ColdBox框架的文档： http://wiki.coldbox.org/wiki/Plugins:AntiSamy.cfm

Answer 3

还要确保使用cfqueryparams，captchas或某种会话身份验证表单帖子。