붙여 넣기 된 스크립트 삽입을 방지하는 방법

Question

최근에 XSS 문제를 만났습니다. 나는 많은 관련 질문 및 기사를 수색하고 읽었다. 모든 답변은 신뢰할 수없는 데이터가 서버로 전달되는 것을 방지하는 방법에 중점을 둡니다. 프론트 엔드에서는 특수 코드를 이스케이프하는 것이 스크립트 실행을 막는 유일한 방법 인 것처럼 보입니다.

하지만 사용자가 입력 코드에 코드 (예 : <script>alert("hi");</script>)를 입력하면이 코드는 언제 실행됩니까? 그리고 그것을 막을 수있는 방법이 있습니까?

나는 keydownkeyup 이벤트를 경청했지만, 이것은 단지 보통의 입력을 방지 할 수 있습니다, 그것은 사용자 복사 입력에 직접 붙여, 그것은 때 사용자 입력 스크립트의 조각을 내 경고 메시지를 보여주지 노력이 없지만 스크립트는 여전히 실행되었습니다!

$("input").on("keyup", function (e) { 
    var value = $(this).val() || ""; 
    var regex = /<(\/?\w+[^\n>]*\/?)>/ig; 
    if(regex.test(value)){ 
     layer.msg("Invalid characters!"); 
     $(this).val(value.replace(regex, "&lt;$1&gt;")); 
     e.preventDefault(); 
     return false; 
    } 
}); 

입력 값의 스크립트가 브라우저에서 실행되는 이유와 실행 시점을 이해할 수 없습니까? 이 메커니즘을 설명하거나 관련성이있는 기사가 있습니까? 내가 눈치 채지 못했던 것을 얻었습니까? 도움이된다고 생각되는 기사가 있으면 알려 주시기 바랍니다. 감사합니다. .

모든 답변과 의견을 보내 주셔서 감사합니다. 어쩌면 나는 분명히 설명하지 않았을지도 모른다. 나는 을 복사했을 때 <script>alert("hi");</script>을 복사하여 입력 창에 붙여 넣으면 브라우저가 경고 창을 표시하고 "hi"를 보였다.

나는 또한 단지 $("input").val('<script>alert("hi");</script>')를 사용하는 한, 그것은 경고 창에 메시지를 표시하지 않습니다,하지만 난 입력의 focus 및 blur 이벤트를 트리거하는 경우, 너무 경고 창을하라는 메시지가 표시됩니다.

그래서 코드가 실행되는 이유는 무엇입니까?

Answer 1

내 사용자 이름이 <script>alert('You got pranked!')</script>이고 응용 프로그램이 XSS로부터 보호받지 못한다고합니다.

등록 할 때 앱에서 내 사용자 이름을 그대로 저장하며 아무 문제가 없습니다.

하지만, 내 프로필 페이지 (또는 내 이름이 표시됩니다 모든 페이지)로 이동, 서버에서 렌더링 된 HTML이 클라이언트 브라우저가 <script> 태그를 볼 것이다

<h1>Profile page</h1> 
<p>User name: <script>alert('You got pranked!')</script></p> 

모양을하고 내부에있는 것을 실행할 것입니다.

HTML 특수 문자를 이스케이프 처리하는 가장 쉬운 해결책은 카운터입니다. 당신이 가지고있는 기술 스택이 무엇이든간에, 당신을 위해 그렇게 할 많은 도구들이 있습니다.

하지만이 도구가 작동하는 방식은 내 사용자 이름을 표시 할 때 <script>alert('You got pranked!')</script>으로 표시되므로 내 사용자 이름을 표시 할 때 브라우저에 <script> 태그가 표시되지 않습니다.

Answer 2

값 또는 양식 필드의 내용은 브라우저에서 실행되지 있습니다 않으며, 당신은 HTML로 처리하지 않는 한 그들이 HTML 로 분석된다.

입력란에 원하는 것을 붙여넣고 서버에 제출할 수 있습니다. <script>alert("hi");</script>을 입력에 붙여 넣는 것은 문제가 없으며 양식 데이터가 서버에 제출 될 때 해당 텍스트가 입력 필드의 값으로 사용됩니다.

XSS 문제는

HTML 같이 입력 필드의 처리의 예 (RichouHunter's answer에서 설명) 사이트 이전가 가지 않고 응답의 HTML로 데이터 및 분출을 제출 용도 때 온다 서버 :

// Assuming jQuery: 
$('div').html($('input').val());