Question

我在某些页面上定义了一些PageMethods（标有<WebMethod>的页面中的静态方法），并使用ajax调用来调用它们。如果发送的数据被认为是可能的XSS，那么对服务器的POST显然不会触发会引发HttpRequestValidationException的ASP.NET代码，所以我想复制该检查代码以在我的页面方法中运行它。

任何人都知道该代码的详细信息或我可以找到它的位置？我查看了MS AntiXss库，但它只进行编码，而不是实际检查输入，AFAIK。

编辑：或指向我的代码方向或执行类似检查的库。

Answer 1

在引发System.Web.HttpRequestValidationException时分析堆栈跟踪，我们可以找出抛出它的代码。

System.Web.HttpRequestValidationException（0x80004005）：从客户端检测到潜在危险的Request.Form值（IdentifierTextBox =“

在System.Web.HttpRequest.ValidateString（String value，String collectionKey，RequestValidationSource requestCollection）

使用Reflector我们发现ValidateString正在调用：RequestValidator.Current.IsValidRequestString，它又调用CrossSiteScriptingValidation.IsDangerousString，它是：

internal static bool IsDangerousString(string s, out int matchIndex)
{
matchIndex = 0;
int startIndex = 0;
while (true)
{
    int num2 = s.IndexOfAny(startingChars, startIndex);
    if (num2 < 0)
    {
        return false;
    }
    if (num2 == (s.Length - 1))
    {
        return false;
    }
    matchIndex = num2;
    char ch = s[num2];
    if (ch != '&')
    {
        if ((ch == '<') && ((IsAtoZ(s[num2 + 1]) || (s[num2 + 1] == '!')) || ((s[num2 + 1] == '/') || (s[num2 + 1] == '?'))))
        {
            return true;
        }
    }
    else if (s[num2 + 1] == '#')
    {
        return true;
    }
    startIndex = num2 + 1;
}
}

在何处查找或复制产生HttpRequestValidationException的代码

1 个答案: