问题描述
我在这里工作，他们使用一个名为checkmarx的应用程序来分析该应用程序的安全性
在其中一项分析中，应用程序检测到以下问题：
反映了XSS所有客户端：
应用程序的GetBarcosNaoVinculados将不受信任的数据嵌入到 使用Json生成的输出，位于第1243行 ... /控制器/AdminUserController.cs。此不受信任的数据是 直接嵌入到输出中，而没有适当的消毒或 编码，使攻击者能够将恶意代码注入到 输出。攻击者可以通过以下方式更改返回的网页 只需在用户inputusuarioId中提供修改后的数据，即 由GetBarcosNaoVinculados方法在第1243行读取 ... /控制器/AdminUserController.cs。然后此输入流经 直接将代码直接输出到输出网页，而无需清理。
public JsonResult GetBarcosNaoVinculados(string usuarioId)
.....
.....
return Json(barcosNaoVinculados,JsonRequestBehavior.AllowGet)
在系统中的其他地方，使用这两种方法都会遇到相同的问题
应用程序的LoadCodeRve将不可信数据嵌入生成的 在第738行的SerializeObject输出 ... / BR.Rve.UI.Site/Controllers/InfoApontamentoController.cs。这个 不受信任的数据直接嵌入到输出中，而没有适当的 清理或编码，使攻击者能够注入恶意软件 代码输入到输出中，攻击者将能够更改返回的内容 通过提前将恶意数据保存在数据存储中来创建网页。的 然后，Buscar从数据库中读取攻击者的修改数据 在... / Repository / Repository.cs的第78行使用Where的方法。这个 然后，不受信任的数据直接通过代码流到输出Web 页面，无需消毒。
public virtual IEnumerable<TEntity> Buscar(Expression<Func<TEntity,bool>>predicate)
return Dbset.Where(predicate);
public string LoadCodeRve()
return JsonConvert.SerializeObject(items);
似乎与JSON格式的处理有关，有人知道如何处理此类问题吗？
解决方法
如警告消息所示，您需要执行某种形式的输入验证（或清理），以及作为安全编码最佳实践-输出编码，然后再将输出呈现到页面中。 Checkmarx搜索这些“消毒剂”的存在，并且在其Checkmarx查询中预定义了这些消毒剂。例如，一种是使用AntiXSS库（即JavascriptEncode函数）
要检查的两条关键线已经由Checkmarx指出：
const now = moment()
// -> moment format is not compatible until converted toDate
const oneWeekFromNow = now.add(1,'week').toDate()
const update = {
endDate: oneWeekFromNow
}
和
return Json(barcosNaoVinculados,JsonRequestBehavior.AllowGet)
这些值（JSON或String）最终到达哪个页面，都需要对其进行转义。现在，根据所使用的模板引擎，您可能已经获得了即时XSS保护。例如，"The Razor engine used in MVC automatically encodes all output sourced from variables,unless you work really hard to prevent it doing so."，除非您当然使用了Html.Raw帮助器方法。
作为应用程序安全性的推动者，我们相信不信任输入并具有多层防御，因此我的建议是通过传入JsonSerializerSettings参数明确表明您要编码输出：
return JsonConvert.SerializeObject(items);
这里唯一的难题是Checkmarx可能不会将其视为消毒剂，因为它可能不在其预定义的消毒剂列表中。您总是可以将此解决方案作为运行安全性扫描的安全性团队的一个论据
对于JsonResult返回的情况，您可能需要对barcosNaoVinculados变量进行javascript编码：
return JsonConvert.SerializeObject(items,new JsonSerializerSettings { StringEscapeHandling = StringEscapeHandling.EscapeHtml });
现在，Checkmarx可能也无法识别。您可以尝试使用Checkmarx可以识别的代码（即Encoder.JavascriptEncode或AntiXss.JavascriptEncode），但我认为这些Nuget包不适用于您的项目类型