Bibliothèque Anti-XSS - Utilisation avec le site ASP.Net (par rapport à l'application web)?

Question

Les résultats d'un audit de sécurité ont révélé que notre site peut être vulnérable aux attaques XSS. Actuellement, la seule protection que nous avons contre cela est d'utiliser la valeur par défaut ValidateRequest = "true" sur toutes les pages. J'ai regardé dans la bibliothèque Anti-XSS de Microsoft et après avoir regardé this video je voudrais implémenter le module de moteur d'exécution de sécurité pour protéger toutes les pages plutôt que d'encoder manuellement chaque article individuel [1].

Le problème que je rencontre est la génération du fichier antixssmodule.config en utilisant le générateur de configuration SRE. Il est à la recherche d'un assemblage, mais notre site est construit en utilisant un projet de site Web et non un projet d'application Web et n'est donc pas intégré dans un assemblage. Suis-je encore capable de générer le fichier de configuration de façon à pouvoir utiliser SRE, ou peut-être existe-t-il une version téléchargeable de ce fichier avec les contrôles couramment exploités déjà définis?

[1] Je ne peux pas non plus utiliser l'outil CAT.NET pour découvrir toutes les vulnérabilités possibles car cet outil recherche également un assemblage.

Answer 1

Fondamentalement non, vous ne pouvez pas générer sans un assembly cible, de sorte que les projets de sites Web ne fonctionnent pas. Vous pouvez, bien sûr, utiliser le fichier web.config par défaut qui récupère tous les contrôles Web de Microsoft (je crois). Cependant, le SRE est conçu comme un patch autour des sites Web vulnérables jusqu'à ce que vous puissiez les corriger, ce n'est pas une solution permanente. Une meilleure approche consisterait à résoudre les problèmes sous-jacents et à vous assurer que vous encodiez toutes les entrées non fiables avant de les envoyer au navigateur.