Làm cách nào để tránh XSS trong tải xuống HTML?

Question

Chúng tôi có một ứng dụng web nội bộ hoạt động như một kho lưu trữ mà người dùng có thể tải lên các tệp. Các tệp này có thể là bất kỳ định dạng nào, bao gồm các trang HTML. Chúng tôi đã thử nghiệm hơn trong IE8, nếu bạn tải xuống tệp HTML chứa một số tập lệnh cố gắng truy cập cookie của bạn và sau khi tải xuống, bạn chọn tùy chọn "Mở", tập lệnh thực thi và nhận thông tin cookie của bạn mà không vấn đề.

Thực ra, tập lệnh đó có thể sử dụng đối tượng XmlHttpRequest để gọi máy chủ và thực hiện một số thao tác độc hại trong phiên của người dùng đã tải xuống tệp.

Có cách nào để tránh điều này không? Chúng tôi đã thử nghiệm rằng cả Chrome và Firefox đều không cho phép điều này xảy ra. Làm cách nào để tránh hành vi này trong bất kỳ trình duyệt nào, bao gồm IE8?

Answer 1

Không cho phép tải lên nội dung không xác định. Đó là một ý tưởng khủng khiếp.

Một "giải pháp" tiềm năng có thể chỉ lưu trữ các video tải lên không đáng tin cậy trên tên miền không có bất kỳ cookie nào và người dùng không liên kết bất kỳ tin tưởng nào theo bất kỳ cách nào. Đây sẽ là một "giải pháp", nhưng chắc chắn không phải là một giải pháp lý tưởng.

Một số tùy chọn thực tế hơn có thể là quy trình dựa trên ủy quyền, trong đó mỗi tệp trải qua quá trình đánh giá tự động và sau đó xác nhận thủ công giai đoạn làm sạch/phân tích tự động.

Tất cả trong tất cả mọi thứ, đó là một ý tưởng rất xấu để cho phép công chúng để làm điều này.

Answer 2

Nếu bạn thực sự cần người dùng tải lên tệp HTML, bạn nên đảm bảo tệp HTML trong thư mục này được phân phát bằng văn bản/văn bản kiểu mime thay vì văn bản/html hoặc tương tự.

Điều này sẽ ngăn các tệp được mở thực thi tập lệnh trong trình duyệt. Nếu bạn đang sử dụng apache, hãy xem chỉ thị AddType.

Answer 3

Đó thực sự là ý tưởng tồi từ quan điểm bảo mật. Tuy nhiên, nếu bạn muốn thực hiện điều này, hãy bao gồm tiêu đề phản hồi HTTP Content-disposition: attachment Nó sẽ buộc trình duyệt tải xuống tệp thay vì mở tệp. Trong Apache, nó được thực hiện bằng cách thêm Header set Content-disposition "attachment" vào tệp .htaccess.

Lưu ý rằng ý tưởng tồi là chỉ thêm Content-type: text/plain như đã đề cập trong một trong các câu trả lời, vì nó sẽ không hoạt động cho Internet Explorer. Khi IE nhận được tệp có tiêu đề kiểu văn bản/văn bản thuần túy, nó sẽ bật trình nén MIME cố gắng xác định loại nội dung thực của tệp (vì một số máy chủ gửi tất cả các tệp có văn bản/đồng bằng). Trong trường hợp nó đáp ứng mã HTML bên trong một tệp, nó sẽ buộc trình duyệt phân phát tệp dưới dạng văn bản/html và hiển thị nó.