Şimdi baktım jquery editrü otomatik olarak < ve > karakterlerini değiştiriyor ancak adam gider unicode olarak yazarsa yine problem oluyor \u003c şeklinde de yazabilir. Muhtemelen 1. postta verdiğim linkteki fonksiyonu kullanıcam güzel çalışıyordu o ama devam ediyorum araştırmaya konu hakkında bilgiye ihtiyacım var hala.

Default ayarlarda bizim html yada script taglerını girmemize engel olan yapının tamamı AntiXssLibrary sanırım. Ben controller içinde bulunan action metodlara attribute olarak validateInput="false" dediğim zaman galiba bu yapıyı devre dışı bırakmış oluyorum. Bu noktadan sonrada html taglarına izin verip script taglerini engellemek için html sanitizer gerekiyor sanırım. Ama validateInput="false" demeyip kullanıcı girdilerindeki < > gibi karakterleri client tarafında asp. net mvc nin izin vereceği formata dnüştürmek daha mantıklı sanırım. Nury nin yazdığı html encode ile o şekilde yapmak gerekicek sanırım. Henuz denemedim ama bir de bu yaklaşımı deneyeyim.

https://www.owasp.org/index. php/XSS_ _Prevention_Cheat_Sheet bu dkümanı diyosun sanırım hocam. Yine mobilde olmadığın zaman daha ayrıntılı paylaşım yaparsan sevinirim.

Hiç karşılaşmadım açıkcası. script tagı olmadan dbye kaydettir. çağırırken de script içerisinde ekrana basarsın. ontedi tarafından 03/May/16 15:23 tarihinde düzenlenmiştir Matematikçi ve Yazılımcı. http://www.ontedi.com ve http://www.cizgi.site Siteme beklerim herkesi.

işte script tagı olmadan nasıl db ye kayıt ettiricem onu merak ettim adam gitti <p><script>alert </script></p> yazdı mesela editre ben bunu c# tarafında string sınıfının replace gibi metodları ile kendimmi kontrol edeyim? Yoksa bunun hazırı var mıdır? Hazırı var zaten verdiğim linkte ama ben o linke gerek olmadan. net içinde hazır bişey var mı onu bulamadım.

işte script tagı olmadan nasıl db ye kayıt ettiricem onu merak ettim adam gitti // <! CDATA 'selam' // > yazdı mesela editre ben bunu c# tarafında string sınıfının replace gibi metodları ile kendimmi kontrol edeyim? Yoksa bunun hazırı var mıdır? Hazırı var zaten verdiğim linkte ama ben o linke gerek olmadan. net içinde hazır bişey var mı onu bulamadım. Aynen dediğin gibi bir method ile replace ettir. public static string HTMLTagTemizle { while (icerik. IndexOf > -1) icerik= icerik. Replace ; return icerik; } SSH tarafından 03/May/16 16:06 tarihinde düzenlenmiştir sırıtma la.

Asp. net mvc projesinde kullanıcıdan bir jquery editrü ile girdi alıyorum. Veritabanına kaydediyorum. Sonra bunu ekrana basarken adam <script> falan yazdıysa yada başka zararlı ne yazabilir bilmiyorum. Bunun nlemini nasıl alıyoruz? Biraz araştırdım. http://www.c-sharpcorner.com/UploadFile/abhikumarvatsa/avoiding-cross-site-scripting-xss-attacks-with-antixss-in/ burda adam anlatmıs bunu yapınca projemize 2 adet assembly ekleniyor. AntiXssLibrary ve HtmlSanizationLibrary diye ancak sonra farkettimki bu yazı biraz eski adamlar zaten. net e AntiXssLibrary yi eklemişler. Yani bu linkte yazan yine microsoftun çıkarmış olduğu antixsslibrary System. Web. Security. AntiXss. AntiXssEncoder altında. net e eklenmiş. Adam rnekte HtmlSanizationLibrary içindeki Sanitize sınıfının GetSafeHtmlFragment metodunu cagırmıs. Ama bu Sanitize sınıfının GetSafeHtmlFragment metodunun karşılıgını. net içinde bulamadım. Şimdi ben veritabanından ekrana verileri basarken ne şekilde basmalıyım? HttpUtility. HtmlEncode, AntiXssEncoder. HtmlEncode. net içindede 1 den fazla htmlencode metodu var. Kafam karıştı biraz, aydınlatırsanız sevinirim.

Kullanıcıdan aldığım girdide html tagları css ler falan olacak bold italic falan yani adam editrden aynı wordpress teki gibi makale giricek. Terror hocamın dediği gibi default olarak asp. net engellediği için html taglarını falan action metodun üzerine validateInput="false" attribute unu yazdım. Şuanki durumda kullanıcı istediği script i veritabanına kaydedebiliyor çünkü validateinput = false olarak ayarlı. Ben de bunu veritabanından çekince nasıl bastıracağım? System. Web. Security. AntiXss. AntiXssEncoder. HtmlEncode bunu kullanıyorum bu sefer bold <b> diye basıyor html de yorumlanmıyo.

Şu anki sınıf bu (4.5 için olmalı). https://msdn.microsoft.com/en-us/library/system. web. security. antixss. antixssencoder%28v=vs.110%29.aspx Eğer kullanıcıdan sadece düz yazı alacaksan unicode beyaz liste işlemini de kullanabilirsin. Olaylara karışmayın!

Hocam default olarak asp. net de xss hatası üretebilecek bilgiler postda filtreleniyor. herkes programcı olmak zorunda değildir, lütfen bir zorunluluk gibi programlama dilleri ğrenmeye çalışmayın. yabancı dil filan ğrenin amq.// s. kimin etini yerim, kasaba minnet etmem.// ince düşünene kalın girer.//

Mobil olduğum için uzun uzun yazmaya üşeniyorum ancak yukarıda yazılanların hiç biri tam çzüm değil. Referans olarak owasp'ın prevent xss dkümanlarını inceleyin. Owasp xss Cheat sheet çok uzun, engellemeyi ğrenmek için onu okumaya gerek yok. nessaj tarafından 03/May/16 20:29 tarihinde düzenlenmiştir