ASP网站的XSS跨站漏洞出现原因及解决办法？

Question

有人说这种漏洞的原因是asp程序语言问题？

Answer 1

Xss漏洞主要利用的是把输出的内容信息转化成脚本信息，这就需要把输出信息做过滤，这方面的过滤API可以考虑OWASP的ESAPI。这个API有面向ASP的版本，去OWASP官网去找吧。

恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。
ASP
漏洞代码示例：
<%
Dim param
Set param=Request.QueryString(“dd”)
response.write param
%>
修复范例：
<%
Dim param
Set param=Request.QueryString(“dd”)
response.write Server.HTMLEnCode(param)
%>
PHP
漏洞代码示例：
<?php
$aa=$_GET['dd'];
echo $aa.”123″;
?>
修复范例：
<?php
$aa=$_GET['dd'];
echo htmlspecialchars($aa).”123″;
?>

Answer 2

如果程序不是很大，可以自己比对以前程序的备份文件，然后就是修复，或者换个服务器，最好是独立服务器。也可以通过安全公司来解决，国内也就Sinesafe和绿盟等安全公司 比较专业.