🧟 💂🏼 💅🏽 कस्टम सामग्री को फ़िल्टर करके XSS को रोकने के लिए XSLT का उपयोग करना ♨️ 🍞 🌊

रिकॉर्डिंग समस्या

मुझे लगता है कि किसी भी वेब डेवलपर को यह समझाने की जरूरत नहीं है कि XSS क्या है और यह खतरनाक क्यों है। लेकिन एक ही समय में, कई साइटें, जैसे कि फ़ोरम, ब्लॉग, सोशल नेटवर्क इत्यादि, उपयोगकर्ता को पेज पर अपनी सामग्री को एम्बेड करने की क्षमता प्रदान करने की कोशिश करते हैं। अनुभवहीन उपयोगकर्ताओं की सुविधा के लिए, WYSIWYG संपादकों का आविष्कार किया जाता है, जिससे एक सुंदर टिप्पणी को जोड़ने की प्रक्रिया आसान और सुखद हो जाती है। लेकिन इस पूरे मोर्चे के पीछे एक सुरक्षा खतरा है। वास्तव में, कोई भी WYSIWYG संपादक सर्वर को केवल पाठ नहीं टिप्पणी के लिए भेजता है, यह HTML कोड भेजता है। और यहां तक कि अगर संपादक खुद खतरनाक एचटीएमएल टैग के उपयोग के लिए प्रदान नहीं करता है (उदाहरण के लिए, <iframe>), तो यह हमलावर को रोक नहीं पाएगा - वह सर्वर पर मनमाने ढंग से HTML पाठ भेज सकता है, जो अन्य साइट आगंतुकों के लिए खतरनाक हो सकता है। मुझे लगता है कि बहुत कम लोग अपने ब्राउज़र में ऐसा कुछ प्राप्त करना चाहेंगे:

<script type="text/javascript">window.location="http://hardcoresex.com/";</script>

इस प्रकार, एक समस्या उत्पन्न होती है: उपयोगकर्ता से प्राप्त HTML कोड को फ़िल्टर करने की आवश्यकता होती है। लेकिन "फ़िल्टर" का क्या अर्थ है? कानूनी उपयोगकर्ताओं के लिए अनुचित प्रतिबंध नहीं बनाने के लिए फ़िल्टरिंग एल्गोरिथ्म क्या होना चाहिए, लेकिन एक ही समय में एक हमलावर द्वारा XSS हमला करना असंभव है? काश, HTML काफी जटिल है, एक अच्छा पार्सर लिखना काफी आसान नहीं है, और इसमें कोई भी गलती एक हमलावर के पास एक खामी हो सकती है जिसके माध्यम से वह हड़ताल कर सकता है।

समस्या का बयान

शुरुआत करने के लिए, मैं समस्या को औपचारिक रूप से प्रस्तुत करने का प्रस्ताव करता हूं। तो फ़िल्टर क्या करना चाहिए:

परिणामी HTML को पार्स करें
इसमें फ़िल्टरिंग नियम लागू करें, असुरक्षित तत्वों को हटाएं या परिवर्तित करें
आगे की प्रक्रिया के लिए परिणामी सुरक्षित HTML लौटें

HTML को पार्स करने के लिए, आप मौजूदा पुस्तकालयों का उपयोग कर सकते हैं, उदाहरण के लिए, PHP में यह लगभग प्राथमिक किया जा सकता है:

 function htmlToDOM($html) { $doc=new DOMDocument(); $doc->loadHTML($html); return $doc; }

लेकिन परिणामी DOM के साथ आगे क्या करना है? इसे कैसे लागू किया जाना चाहिए? मैं एक समाधान प्राप्त करना चाहता था जो होगा:

विश्वसनीय। विश्वसनीयता से, मैं कोड में त्रुटि की सभी कम संभावना को पहले समझता हूं, जिससे खतरनाक टैग, विशेषताओं या विशेषता मानों का चूक हो सकता है।
यूनिवर्सल। सार्वभौमिकता के आधार पर, मैं HTML को एक मनमाने ढंग से डिग्री के साथ फ़िल्टर करने की क्षमता को समझता हूं: "कोई टैग नहीं, केवल पाठ" से "<iframe> जिसमें src विशेषता के साथ youtube पता है, आप बाकी का उपयोग नहीं कर सकते हैं" या "<<> टैग शैली विशेषता का उपयोग कर सकते हैं" लेकिन रंग और पृष्ठभूमि-रंग को छोड़कर गुणों से संबंधित अपने मूल्यों से हटा दें ”
आसानी से विन्यास करने योग्य। इन नियमों को समझने योग्य तरीके से वर्णन करना संभव है, और सरल नियमों को केवल सभी टैग्स पर प्रतिबंध लगाने के लिए चेकमार्क और ड्रॉप-डाउन सूचियों के पांच स्क्रीन के माध्यम से स्क्रॉल किए बिना वर्णित किया जाना चाहिए।

समाधान के लिए खोजें

मैं समय-समय पर इस कार्य पर लौट आया, लेकिन मेरे लिए संतोषजनक समाधान नहीं मिला। यह या तो बहुत मुश्किल था (सेटअप और कार्यान्वयन दोनों में), या सीमित नहीं। हल अचानक ही उठा। मैं XML सामग्री को प्रारूपित करने के लिए XSL टेम्प्लेट का उपयोग करने की संभावनाओं के बारे में सोच रहा था, क्योंकि यह मुझ पर dawned: आखिरकार, XSLT का उपयोग एक दस्तावेज़ को बदलने के लिए किया जाता है, जिसका अर्थ है कि इसका उपयोग अवांछित तत्वों को फ़िल्टर करने के लिए भी किया जा सकता है!

समाधान वास्तव में ऊपर बताई गई आवश्यकताओं को पूरा करता है:

विश्वसनीयता। सभी काम XSLT प्रोसेसर द्वारा किया जाता है, त्रुटि की संभावना जिसमें स्व-लिखित समाधान की तुलना में काफी कम है,
बहुमुखी प्रतिभा। XSLT का उपयोग करके, आप किसी भी डिग्री के विस्तार के साथ फ़िल्टरिंग नियम बना सकते हैं।
विन्यास में आसानी। मौजूदा कॉन्फ़िगरेशन के अनुसार सफेद या काली सूची में आइटम जोड़ने के लिए सरल कॉन्फ़िगरेशन कम हो जाता है। जटिल मामलों में, निश्चित रूप से, अतिरिक्त विवरणों की आवश्यकता होती है, लेकिन यह जटिलता तभी उत्पन्न होती है जब फाइन-ट्यूनिंग फ़िल्टरिंग की आवश्यकता होती है। XSLT का उपयोग करने का एक और लाभ यह है कि इस कॉन्फ़िगरेशन को किसी भी XSLT विशेषज्ञ द्वारा पढ़ा, समझा और संशोधित किया जा सकता है।

XSLT का उपयोग करके एक फ़िल्टर बनाना

ब्लैकलिस्ट कार्यान्वयन

यह पता लगाने के लिए कि क्या यह विचार बिल्कुल भी कार्य करने में सक्षम है, मैंने एक XSL फ़ाइल बनाने का निर्णय लिया, जो स्रोत दस्तावेज़ की एक सरल प्रतिलिपि के परिणामस्वरूप परिणाम बताता है।

 <?xml version="1.0" encoding="UTF-8"?> <xsl:stylesheet xmlns:xsl="http://www.w3.org/1999/XSL/Transform" version="1.0"> <xsl:output method="xml" encoding="utf-8"/> <xsl:template match="@*|*"> <xsl:copy> <xsl:apply-templates select="@*|node()" /> </xsl:copy> </xsl:template> </xsl:stylesheet>

जैसा कि आप देख सकते हैं, पूरा बिंदु है

  <xsl:template match="@*|*"> <xsl:copy> <xsl:apply-templates select="@*|node()" /> </xsl:copy> </xsl:template>

यह टुकड़ा दस्तावेज़ के सभी तत्वों को संसाधित करने के लिए ज़िम्मेदार है: टैग और उनकी विशेषताएं। पाठ तत्वों को डिफ़ॉल्ट नियम द्वारा संसाधित किया जाता है, जो उन्हें परिणामस्वरूप दस्तावेज़ में कॉपी करता है। इस टेम्पलेट के साथ, संसाधित तत्व को परिणामस्वरूप दस्तावेज़ में भी कॉपी किया जाता है, और इसके बाल तत्वों और विशेषताओं पर टेम्पलेट लागू होते हैं (वास्तव में, यह एक ही सार्वभौमिक टेम्पलेट है)। इस प्रकार, कुछ तत्वों को छानने के लिए, आपको उनके लिए खाके जोड़ने होंगे। यहां, उदाहरण के लिए, आप उनकी सामग्री के साथ <script> टैग फ़िल्टर कर सकते हैं:

  <xsl:template match="script" />

एक लाइन! यदि आपको सामग्री को फ़िल्टर करने की आवश्यकता नहीं है, तो आप एक अन्य विकल्प का उपयोग कर सकते हैं, उदाहरण के लिए, निम्न टुकड़े को जोड़ने के बाद, सभी लिंक इस तरह से बंद हो जाएंगे:

  <xsl:template match="a"> <xsl:apply-templates /> </xsl:template>

यह स्निपेट <a> टैग हटा देगा, लेकिन उनकी सामग्री को छोड़ देगा (जो निश्चित रूप से, फ़िल्टर करने से भी हार जाएगा)। और इसलिए आप अवांछित विशेषताओं के खिलाफ लड़ सकते हैं, उदाहरण के लिए, सभी तत्वों से शैली विशेषता को हटा दें:

  <xsl:template match="@style" />

जैसा कि आप देख सकते हैं, इस प्रणाली के लिए एक अजनबी के लिए भी नियम सरल हैं और कम से कम टिप्पणी की आवश्यकता है। लेकिन हर चीज जो काली सूची में नहीं डाली जा सकती है, उसे धकेलना असुविधाजनक है। ब्लैकलिस्ट करना एक अतिरिक्त अवसर है, लेकिन किसी भी तरह से कोई सुरक्षा नहीं है, जैसा कि नए टैग दिखाई देते हैं, नई विशेषताएँ, और फ़िल्टरिंग नियम जो समय में अपडेट नहीं होते हैं, साइट के लिए खतरा पैदा कर सकते हैं। इसलिए, XSS से बचाने के लिए, मैं "श्वेत सूची" का उपयोग करना अधिक उचित समझता हूं (जो सब कुछ स्पष्ट रूप से अनुमति नहीं है वह निषिद्ध है)

श्वेतसूची कार्यान्वयन

श्वेतसूची को लागू करने के लिए, सार्वभौमिक नियम को फिर से लिखना चाहिए:

  <xsl:template match="*"> <xsl:apply-templates /> </xsl:template> <xsl:template match="@*" />

अतिरिक्त अनुमति नियमों के बिना, यह HTML कोड से केवल पाठ तत्वों को छोड़ देगा, सभी टैग और उनकी विशेषताओं को हटा देगा (यदि आप अलग से विशेषताओं का वर्णन नहीं करते हैं, तो उनके रीडिंग को पाठ के रूप में कॉपी किया जाएगा)। अनुमति देने के लिए, उदाहरण के लिए, लिंक और चित्र जिन्हें आपको जोड़ने की आवश्यकता है:

  <xsl:template match="a|img"> <xsl:copy> <xsl:apply-templates select="@*|node()" /> </xsl:copy> </xsl:template>

यह नियम टैग को स्वयं की अनुमति देगा, लेकिन उनकी विशेषताओं को नहीं - उन्हें हटा दिया जाएगा, जिससे टैग बेकार हो जाएंगे। इसे ठीक करना आसान है:

  <xsl:template match="a/@href|img/@src"> <xsl:copy /> </xsl:template>

यह नियम <a> टैग पर href विशेषता और <img> टैग पर src सक्षम करता है। चूंकि विशेषताओं में कोई संतान नहीं है, इसलिए उन्हें केवल परिणामी दस्तावेज़ में कॉपी किया जाता है। इस नियम में, आप अतिरिक्त सत्यापन को लागू कर सकते हैं, उदाहरण के लिए, एक लिंक http: // या https: // प्रोटोकॉल का उपयोग करके किसी ऑब्जेक्ट की ओर जाता है (और इस तरह डेटा जैसे असुरक्षित प्रोटोकॉल से छुटकारा मिलता है : // )

  <xsl:template match="a[@href]"> <xsl:variable name="target" select="@href" /> <xsl:choose> <xsl:when test="starts-with($target, 'http://')"> <xsl:copy> <xsl:apply-templates select="@*|node()" /> </xsl:copy> </xsl:when> <xsl:otherwise> <xsl:apply-templates /> </xsl:otherwise> </xsl:choose> </xsl:template> <xsl:template match="a/@href"> <xsl:copy/> </xsl:template>

इस नियम में, लिंक के उद्देश्य की जांच की जाती है और, इस पर निर्भर करते हुए, निर्णय लिया जाता है कि टैग को कॉपी किया जाए या नहीं। टैग <href विशेषता के बिना <डिफ़ॉल्ट नियम के तहत गिर जाएगा और हटा दिया जाएगा। छवियों के साथ भी ऐसा ही किया जा सकता है। एक वैकल्पिक समाधान विशेषता टेम्पलेट में विशेषता मान की जांच करना है, लेकिन इसका मतलब है कि तर्क दो स्थानों में विभाजित है:

  <xsl:template match="a[@href]"> <xsl:copy> <xsl:apply-templates select="@*|node()" /> </xsl:copy> </xsl:template> <xsl:template match="a/@href"> <xsl:variable name="target" select="." /> <xsl:if test="starts-with($target, 'http://')"> <xsl:copy/> </xsl:if> </xsl:template>

एक और विशिष्ट कार्य लिंक विशेषता rel = "nofollow" जोड़ना है:

  <xsl:template match="a[@href]"> <xsl:copy> <xsl:attribute name="rel">nofollow</xsl:attribute> <xsl:apply-templates select="@*|node()" /> </xsl:copy> </xsl:template>

और अंत में, सबसे कठिन मामला: विशेषता मान का हेरफेर। मैं आवश्यकताओं में तैयार की गई समस्या के समाधान का प्रदर्शन करूंगा - शैली विशेषता को सक्षम करूंगा, रंग और पृष्ठभूमि-रंग गुणों को छोड़कर इसके मूल्य से सब कुछ हटा दूंगा। सबसे पहले, एक ऐसा टेम्प्लेट बनाएं जो किसी एक संपत्ति के मूल्य का विश्लेषण करता है और या तो इसका उपयोग करने की अनुमति देता है या नहीं:

  <xsl:template name="filter-style-value"> <xsl:param name="value" /> <xsl:variable name="key" select="substring-before($value, ':')" /> <xsl:if test="($key = 'color') or ($key = 'background-color')"> <xsl:value-of select="$value" /> </xsl:if> </xsl:template>

अब दूसरा चरण: मूल्य के सभी गुणों पर पुनरावृत्ति करना और वैधता के लिए प्रत्येक की जाँच करना:

  <xsl:template name="filter-style"> <xsl:param name="value" /> <xsl:param name="filtered" select="''" /> <xsl:choose> <!--        --> <xsl:when test="contains($value, ';')"> <!--        --> <xsl:variable name="head" select="substring-before($value, ';')" /> <xsl:variable name="tail" select="substring-after($value, ';')" /> <!--    --> <xsl:variable name="fltr"> <xsl:call-template name="filter-style-value"> <xsl:with-param name="value" select="$head" /> </xsl:call-template> </xsl:variable> <!--    --> <xsl:call-template name="filter-style"> <xsl:with-param name="value" select="$tail" /> <xsl:with-param name="filtered"> <!--         (     ) --> <xsl:choose> <xsl:when test="string-length($fltr) > 0"> <xsl:value-of select="concat($filtered, $fltr, ';')"/> </xsl:when> <xsl:otherwise> <xsl:value-of select="$filtered" /> </xsl:otherwise> </xsl:choose> </xsl:with-param> </xsl:call-template> </xsl:when> <!--      --> <xsl:otherwise> <!--  --> <xsl:variable name="fltr"> <xsl:call-template name="filter-style-value"> <xsl:with-param name="value" select="$value" /> </xsl:call-template> </xsl:variable> <!--    --> <xsl:choose> <xsl:when test="string-length($fltr) > 0"> <xsl:value-of select="concat($filtered, $fltr, ';')"/> </xsl:when> <xsl:otherwise> <xsl:value-of select="$filtered" /> </xsl:otherwise> </xsl:choose> </xsl:otherwise> </xsl:choose> </xsl:template>

यह सबसे बड़ा और सबसे जटिल टेम्पलेट है, लेकिन एक गैर-तुच्छ कार्य भी है। किसी अन्य सहायक टेम्पलेट में दोहराए गए कोड को हाइलाइट करके इसे कुछ हद तक सरल किया जा सकता है, लेकिन मैंने ऐसा नहीं किया। उन्होंने टिप्पणी की है, इसलिए मुझे लगता है कि उनके काम का विस्तृत विवरण आवश्यक नहीं है। खैर, अंतिम टेम्प्लेट वास्तव में टैग छानने के लिए जिम्मेदार है:

  <xsl:template match="p[@style]"> <xsl:variable name="style" select="@style" /> <xsl:copy> <xsl:attribute name="style"> <xsl:call-template name="filter-style"> <xsl:with-param name="value" select="@style"/> </xsl:call-template> </xsl:attribute> <xsl:apply-templates /> </xsl:copy> </xsl:template>

निष्कर्ष

इस प्रकार, मेरा मानना है कि मैं घोषित लक्ष्य के जितना करीब आया था - उपयोगकर्ता द्वारा दर्ज सामग्री के लिए एक विश्वसनीय और लचीले फिल्टर का निर्माण। मैं तुरंत आरक्षण करना चाहता हूं - दिए गए XSL में अशुद्धियां हैं, यह पूरी तरह से अवधारणा को प्रदर्शित करने के लिए है, यह कोड नहीं है जो उत्पादन में उपयोग किया जा सकता है। मैंने सिस्टम को पूरी तरह से डिज़ाइन नहीं किया है, लेकिन यह स्पष्ट है कि यह फ़िल्टरिंग परिणाम को बचाएगा, इसलिए रूपांतरण एक बार किया जाएगा - सामग्री जोड़ते समय। पृष्ठ पर प्रदर्शित एक सुरक्षित संस्करण होगा।

अंत तक पढ़ने के लिए धन्यवाद। मुझे उम्मीद है कि समुदाय इस लेख को मददगार पाएगा।

कस्टम सामग्री को फ़िल्टर करके XSS को रोकने के लिए XSLT का उपयोग करना