HTML/VBScript/Classic ASP中的XSS缓解

Question

在我的web代码中，我遇到了以下假设的XSS漏洞：

原码：<INPUT TYPE=HIDDEN NAME='acctno' VALUE='" &Session("acctno")& "'>

被黑客攻击的代码：<INPUT TYPE=HIDDEN NAME='acctno' VALUE='12345'/><script>alert(98765)</script>

我是否可以通过将HTMLEncode添加到value字段中的会话变量来缓解此问题？

谢谢。

Answer 1

一点儿没错。您需要对插入到HTML中的所有文本进行HTML编码。

您还需要对插入到Javascript代码中的任何文本进行Javascript编码，并且需要对插入到URL中的任何文本进行URL编码。