使用Global.asax的Application_BeginRequest事件過濾客戶端XSS惡意腳本提交

　　XSS攻擊全稱跨站腳本攻擊（Cross Site Scripting），是一種在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼（如HTML代碼和客戶端腳本）植入到提供給其它用戶使用的頁面中。要預防XSS攻擊，就必須在處理客戶端請求之前判斷用戶的輸入是否合法，如果不合法就要攔截。在ASP.NET項目的根目錄下有一個全局程序文件Global.asax文件，每次IIS請求都會按順序執行這個文件中的不同事件。其中Application_BeginRequest事件在ASP.NET開始處理每個請求時觸發，在這個事件處理中的代碼將在頁面或者服務處理請求之前執行。我們可以在這里寫代碼去驗證客戶端請求是否合法。

　　首先在app_code文件夾下創建一個XSSFilter類，這是ASP.NET創建網站時默認存儲類的文件夾

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;
using System.Text.RegularExpressions;

/// <summary>
///XSSFilter 的摘要說明
/// </summary>
public class XSSFilter
{
    public XSSFilter() { }

    private const string StrRegex = @"<[^>]+?style=[\w]+?:expression\(|\b(alert|confirm|prompt)\b|^\+/v(8|9)|<[^>]*?=[^>]*?&#[^>]*?>|\b(and|or)\b.{1,6}?(=|>|<|\bin\b|\blike\b)|/\*.+?\*/|<\s*script\b|<\s*img\b|\bEXEC\b|UNION.+?SELECT|UPDATE.+?SET|INSERT\s+INTO.+?VALUES|(SELECT|DELETE).+?FROM|(CREATE|ALTER|DROP|TRUNCATE)\s+(TABLE|DATABASE)";
    public static bool PostData()
    {
        bool result = false;
        try
        {
            for (int i = 0; i < HttpContext.Current.Request.Form.Count; i++)
            {
                result = CheckData(HttpContext.Current.Request.Form[i].ToString());
                if (result)
                {
                    break;
                }
            }
        }
        catch (HttpRequestValidationException ex)
        {
            return true;
        }
        return result;
    }

    public static bool GetData()
    {
        bool result = false;
        try
        {
            for (int i = 0; i < HttpContext.Current.Request.QueryString.Count; i++)
            {
                result = CheckData(HttpContext.Current.Request.QueryString[i].ToString());
                if (result)
                {
                    break;
                }
            }
        }
        catch (HttpRequestValidationException ex)
        {
            return true;
        }
        return result;
    }

    public static bool CookieData()
    {
        bool result = false;
        try
        {
            for (int i = 0; i < HttpContext.Current.Request.Cookies.Count; i++)
            {
                result = CheckData(HttpContext.Current.Request.Cookies[i].Value.ToLower());
                if (result)
                {
                    break;
                }
            }
        }
        catch (HttpRequestValidationException ex)
        {
            return true;
        }
        return result;

    }

    public static bool referer()
    {
        bool result = false;
        return result = CheckData(HttpContext.Current.Request.UrlReferrer.ToString());
    }

    public static bool CheckData(string inputData)
    {
        if (Regex.IsMatch(inputData, StrRegex))
        {
            return true;
        }
        else
        {
            return false;
        }
    }
}

然后在Global.asax的Application_BeginRequest事件中添加如下代碼：

    void Application_BeginRequest(object sender, EventArgs e)
    {
        if (Request.Cookies != null)
        {
            if (XSSFilter.CookieData())
            {
                Response.Write("您提交的Cookie數據有惡意字符！");
                Response.End();
            }
        }
        if (Request.UrlReferrer != null)
        {
            if (XSSFilter.referer())
            {
                Response.Write("您提交的Referrer數據有惡意字符！");
                Response.End();
            }
        }
        if (Request.RequestType.ToUpper() == "POST")
        {
            if (XSSFilter.PostData())
            {
                Response.Write("您提交的Post數據有惡意字符！");
                Response.End();
            }
        }
        if (Request.RequestType.ToUpper() == "GET")
        {
            if (XSSFilter.GetData())
            {
                Response.Write("您提交的Get數據有惡意字符！");
                Response.End();
            }
        }
    }

測試一下，在提交表單時或者手動修改URL輸入一行腳本<script>alert('test');</script>，就會跳轉到錯誤提示頁面。
如果用的是異步ajax提交，在回調函數中判斷一下就可以了。