Jak chronić się przed atakami iniekcyjnymi podczas korzystania z KnockoutJS?

Question

Nasza firma planowała użyć Knockoutjs, ale znalazłem this link omawiające kwestie bezpieczeństwa w KnockoutJS. Mówią, że ludzie mogą łatwo wstrzyknąć szkodliwy kod w atrybut wiążący dane.

Na przykład:

<script src="http://knockoutjs.com/downloads/knockout-2.3.0.js"></script> 
<div data-bind="x:alert(1)" /> 
<script> 
    ko.applyBindings(); 
</script> 

nie mam bardzo dobrą wiedzę na temat ataków XSS, a ja nie wiem, jak wiele sposobów ludzie mogą wstrzyknąć złośliwy kod na stronie internetowej.

1. ktoś może mi powiedzieć, kiedy strona jest wyświetlana na komputerze klienckim, a następnie, jak ludzie mogą wstrzyknąć ten <div data-bind="x:alert(1)" /> tylko po to żeby to działało? Czy ktoś może mi powiedzieć, jak hakerzy mogą wstrzykiwać to na stronie otwartej w przeglądarce?

2. Czy ktoś może mi powiedzieć, jakie inne problemy związane z zabezpieczeniami są dla knockoutjs?

Jeśli nie jest bardzo bezpieczny, nie będę go używać.

Dostałam też linki byli trochę o tym, jak lepiej zabezpieczyć knockoutjs:

• http://brianmhunt.github.io/articles/knockout-plus-content-security-policy/
• https://github.com/brianmhunt/knockout-secure-binding

Czy ktoś zdaje sobie sprawę, jak uzyskać knockoutjs pełni zabezpieczona? Ponieważ widziałem samouczek dla KnockoutJS i czułem, że krzywa uczenia się nie jest wysoka.

Answer 1

"Zabezpieczenie nokautu" nie jest sposobem zapobiegania XSS.

trzeba zarządzać swoją ekspozycję XSS w pierwszej kolejności, niezależnie od tego jak są wiążące dla danych elementów w aplikacji i że zaczyna się od zabezpieczania stronę, która ma wiążącego w pierwszej kolejności nokaut:

• Sprawdź poprawność danych wejściowych, które będą miały wpływ na powrót tej konkretnej strony internetowej elementu listy

• nie pozwalają użytkownikom na renderowanie wyjście HTML świadczone przez użytkowników bez odkażania najpierw

• Nie zezwalaj niezaufanym stronom trzecim na dostarczanie referencji do skryptów lub dołączanie linków od podmiotów trzecich, którym nie jesteś zaufany .

Pełna lista sposobów zapobiegania XSS jest tutaj:

https://www.owasp.org/index.php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet

https://www.owasp.org/index.php/DOM_based_XSS_Prevention_Cheat_Sheet

Można zauważyć, że „nie używając nokaut” nie znajduje się na żadnej z tych list i że większość problemów związanych jest z zarządzaniem danymi wprowadzanymi przez użytkownika i jego skutkami w kodzie skryptu. To samo dotyczy tego, w jaki sposób dane wejściowe użytkownika kończą się wiązaniem nokautu.

Zarządzanie ekspozycją nokautu za pomocą bezpiecznego mechanizmu wiążącego, który połączono powyżej, zmniejszy potencjalną powierzchnię ataku.

Ale jeśli masz złośliwy kawałek html zwrócony przez twój serwer lub linkowany na twojej stronie, niezależnie od tego, czy masz nokaut, czy nie, masz problem z XSS.