posts - 644, comments - 2003, trackbacks - 137

My Links

News

Raffaele Rialdi website

Su questo sito si trovano i miei articoli, esempi, snippet, tools, etc.

Archives

Post Categories

Image Galleries

Blogs

Links

Microsoft Anti-Cross Site Scripting Library V1.0

Kevin Lam dell'ACE Security Services Team la settimana scorsa mi ha fatto fare una rapidissima beta di una nuova libreria Anti Cross Site Stripting che è appena stata rilasciata.

Al momento la libreria è solo per il framework 2.0 ma presto saranno disponibili anche le librerie per la 1.0 e 1.1.

Tanto semplice quanto efficace e performante, questa nuova libreria offre un paio di metodi UrlEncode e HtmlEncode che si possono usare come sostituti degli omonimi metodi di HttpUtility.

Se quindi sviluppate per il web, fatevi sotto e usatela. Le novità ovviamente non si fermano qui. Altro ha da venire...

Print | posted on martedì 28 febbraio 2006 00:36 |

Feedback

Gravatar

# re: Microsoft Anti-Cross Site Scripting Library V1.0

Settimana scorsa l'avevo scaricata e provata.
Ma non mi e' molto ben chiara la differenza fra usare questi metodi e gli originali in HttpUtility. Non c'era alcuna documentazione.
28/02/2006 01:54 | Michele Bersani
Gravatar

# re: Microsoft Anti-Cross Site Scripting Library V1.0

Michele, ho aspettato a bloggare non appena Kevin mi ha dato il via perché ha fatto recentemente delle modifiche.

Per quanto concerne la documentazione confermo quanto detto da Andrea e cioè che si usa in modo identico ai metodi di HttpUtility e che questa libreria fa dei controlli più serrati.
01/03/2006 00:53 | Raffaele Rialdi
Gravatar

# re: Microsoft Anti-Cross Site Scripting Library V1.0

Ah ottimo, ha modificato la documentazione adesso.
Praticamente in parole povere, la HttpUtility esclude (encode) tutti i caratteri non permessi ("black-list").
Mentre questa libreria include solo i caratteri permessi e codifica tutto il resto ("white-list").
Quindi maggiore sicurezza ma probabilmente piu' lenta.
01/03/2006 02:32 | Michele Bersani
Comments have been closed on this topic.

Powered by:
Powered By Subtext Powered By ASP.NET