GET 요청으로 XSS 공격을 피하고 IIS의 공격 거부 IP 주소를 IP 거부 목록으로 자동화하는 방법은 무엇입니까?

Question

이전 URL에서 오류가 발생하여 일부 사이트에서 일부 XSS 시도가 발생했습니다. 즉. http://www.mysite.com/[some 이전 키워드]/searchterm.

이 사이트는 MVC3 사이트이며 위조 방지 토큰을 사용하는 것에 대한 이해에서 - 이것은 POST 요청에만 유용합니다.

일부 요청은 유효한 요청 일 수 있으므로 URL에 대한 모든 요청을 제한하고 싶지는 않습니다 (예 : GoogleCrawler).

이 시나리오에서 XSS 공격을 방지/방지 할 수있는 방법은 무엇입니까?

불쾌한 IP 주소가있는 경우 APPCMD를 사용하여 IIS의 DENY 목록에 IP 주소를 추가하는 방법이 있습니까? solution APPCMD를 사용하여 목록에 기반한 IIS에 새 웹 사이트를 추가하는 것과 비슷합니까?

Google 사이트 중 일부에서 교차 사이트 스크립팅 공격을 시도하는 여러 IP 주소를 알아 차리고 있기 때문에 문의하는 중입니다. 나는 이것들의 목록을 만들고 (아마도 http://www.ipfraudreporter.com 같은 어딘가에서 목록을 읽고) 우리 서버에 올려주기를 원한다.

Answer 1

차단 XSS는 대부분의 경우 입력 문제가 아닌 출력 인코딩 문제입니다. 예를 들어 영숫자 문자 만 허용하는 경우 매우 엄격한 허용 목록 기반 입력 유효성 검사를 사용하여 문자를 허용 할 수 있지만 대개의 경우 특정 컨텍스트에 대해 출력을 올바르게 인코딩하는 것입니다. Abriged OWASP XSS 예방 치트 시트를 참조하십시오.

금지 ips에 관해서는, 당신 환경에서 가능한 무엇이 확실하지 않습니다. 방화벽이나 IP에 추가하거나 금지 된 ips 목록 수신 요청을 차단하는 HttpModule을 작성할 수 있습니다.