HTML :: StripScripts est-il toujours sûr de supprimer les exploits modernes?

Question

J'ai besoin d'un moyen en Perl pour supprimer les éléments malveillants, tels que XSS, l'interjection d'images et les travaux.

J'ai trouvé HTML :: StripScripts mais il n'a pas été mis à jour deux ans et je ne suis pas au courant de tous les nouveaux exploits.

Est-ce sécuritaire?

Quels autres langages de balisage (en Perl) utiliseriez-vous?

Answer 1

HTML :: StripScripts est une liste blanche. Il peut utiliser un analyseur basé sur une arborescence et doit être aussi sécurisé que la liste blanche.

Answer 2

XSS est un vaste sujet et des exploits se présentent tous les deux jours.

Le simple fait de supprimer des scripts ne rendra pas votre code / site sûr.

Il est préférable de ne pas essayer de supprimer certaines choses. Il est préférable de sélectionner la liste blanche des caractères html / spéciaux que vous autoriserez sur votre site. c'est-à-dire <b>, <i>

Defang semble être la dernière / meilleure librairie anti-XSS pour perl sur cpan

Liste noire vs liste blanche

Aide-mémoire OWASP XSS

Et je suggère de jouer avec CAL9000 pour avoir une idée de son ampleur. / XSS astucieux est