Анализ уязвимости: Cross-Site Scripting in C#

Learn how to fix Cross-Site Scripting (XSS) (CWE-79) in C# / .NET. Side-by-side vulnerable vs secure code examples for Razor Html.Raw hazards and AntiXssEncoder.

💡 Простыми словами (ELI5)

Представьте, что кто-то прикрепил записку на общую доску объявлений: 'Каждый прочитавший обязан отдать свой кошелек стоящему рядом человеку'. Если бы прохожие слепо подчинялись запискам на доске, любой мог бы украсть деньги всех посетителей.

Ключевые понятия и термины

Web Application Security: Технический термин (Web Application Security): Core architecture component affected by CWE-79.
CWE-79: Технический термин (CWE-79): Standard Common Weakness Enumeration classification for xss-csharp.
Defense-in-Depth: Технический термин (Defense-in-Depth): Multi-layered engineering verification and runtime boundary isolation.

Пошаговый сценарий атаки

Step 1

Внедрение вредоносного скрипта

Атакующий вводит HTML-теги или JavaScript-код (например, <script> или <img onerror=...>) в поля форм или параметры URL.

Step 2

Вывод в DOM без экранирования

Приложение отображает введенные данные в HTML-странице без контекстного экранирования специальных символов.

Step 3

Разбор и выполнение в браузере жертвы

Браузер пользователя распознает спецсимволы как исполняемый код и запускает вредоносный сценарий.

Step 4

Кража сессии и перехват управления

Скрипт читает document.cookie и токены из localStorage, передавая управление учетной записью злоумышленнику.

Исходный код: Уязвимый vs Защищённый вариант

✕ УЯЗВИМАЯ РЕАЛИЗАЦИЯ

@* Html.Raw skips encoding entirely *@
<div>
  Welcome, @Html.Raw(Model.Name)
</div>

✓ БЕЗОПАСНЫЙ ИСПРАВЛЕННЫЙ ВАРИАНТ

@* default Razor output auto-encodes *@
<div>
  Welcome, @Model.Name
</div>

Чек-лист по защите системы для инженеров

✓Всегда используйте default Razor @ output — never Html.Raw() for untrusted data.
✓Рекомендация по безопасности: In legacy Web Forms, use <%: %> instead of <%= %&gt.
✓Всегда используйте JS-context-aware encoding when embedding data into inline <script> blocks.