Foro - Perl en Español

Hola a todos.

Mi pregunta es si estoy haciendo bien querer prevenir una aplicación de ataques XSS realizando un filtrado por medio de expresiones regulares (dentro del cgi que uso para grabar datos en mi base de datos) de los conjuntos de caracteres más comunes en ese tipo de ataques.

Ejemplo: XSS, alert, javascript, <script>, <iframe>, ", ', etc.

Y lo mismo hago en JavaScript para los formularios Ajax.

Espero haberme expresado claramente.
Saludos y gracias de antemano.

El uso de expresiones regulares está muy bien para estos casos. Ahora bien...

Lo ideal es filtrar la entrada por aquello que esperamos, no por aquello que no esperamos.

Eso quiere decir que, si sabemos cómo deben ser la entrada, solo nos quedaremos con esos caracteres.

Un ejemplo: si queremos recibir un texto que solo debe contener caracteres alfanuméricos, pasaremos la entrada por una expresión regular que elimine todo carácter que no sea eso.

Si en el texto que esperamos queremos permitir el uso de caracteres como '>' o '<' y demás, siempre podemos "escapar" o convertir este texto a entidades HTML, con la ayuda de la función escapeHTML() del módulo CGI.

Mira la documentación del módulo CGI, en la parte que habla de AUTOESCAPING HTML.

Esa es la función que utilicé yo en un módulo que hice para introducir datos de discos, necesitaba poder utilizar todos los tags pero al mismo tiempo impedir cualquier tipo de inyección de código y me vino genial.

Si quieres comprobar si está bien protegido cuando termines de codearlo busca en google XSS GreaseMonkey y bajate un script muy bueno en jscript para localizar XSSs en formularios y links

Si quieres aceptar alguno de los tags HTML pero no todos y ninguno de los atributos JavaScript, o algo así, puedes bajar un módulo desde aquí: http://jenda.krynicky.cz/#HTML::JFilter

Tu especificas qué tags y atributos quieres aceptar y todo lo otro va será eliminado.

Gracias a todos por sus respuestas.
La función del módulo CGI funciona perfecto.
En cuanto a XSS GreaseMonkey lo voy a probar cuando tenga un poco más de tiempo.
Saludos.