ID do artigo: 252985 - �ltima revis�o: quarta-feira, 1 de mar�o de 2006 - Revis�o: 3.6

Como evitar problemas de seguran�a scripts intersites

Clique aqui para exibir o artigo traduzido e o artigo original em ingl�s, lado a lado.

Exibir Aviso de Isen��o de Tradu��o Autom�tica

Exibir os produtos aos quais esse artigo se aplica.

Dica do SistemaEste artigo aplica-se a um sistema operativo diferente do que est� a utilizar. Foi desactivado o conte�do do artigo, que pode n�o ser relevante para si.

Aviso

Este artigo se aplica ao Windows 2000. Suporte 2000 termina em 13 de julho de 2010.Windows 2000 End-of-Support Solution Center (http://support.microsoft.com/?scid=http%3a%2f%2fsupport.microsoft.com%2fwin2000) � um ponto de partida para planejar uma estrat�gia de migra��o do Windows 2000. Para obter mais informa��es, consulte a Microsoft Support Lifecycle Policy (http://support.microsoft.com/lifecycle/) .

Nesta p�gina

Expandir tudo | Recolher tudo

Sum�rio

P�ginas HTML geradas dinamicamente podem apresentar riscos de seguran�a se entradas n�o s�o validadas tanto em forma no ou em forma out. Script mal-intencionado pode ser incorporado dentro de entrada que � enviada para p�ginas da Web e que aparecem para os navegadores como originado de uma fonte confi�vel. Esse problema � conhecido como um problema de seguran�a de script entre sites. Este artigo discute problemas de seguran�a scripts intersites, ramifica��es e preven��o.

Voltar para o in�cio

Mais Informa��es

O problema

O problema subjacente � que muitas p�ginas Web exibir entrada n�o validada. Se a entrada n�o validada, script mal-intencionado pode ser incorporado dentro de entrada. Se um script do lado do servidor, em seguida, exibe esta entrada n�o validada, o script � executado no navegador como embora gerado pelo site confi�vel.

Voltar para o in�cio

Ramifica��es

Se a entrada para suas p�ginas da Web din�micas n�o � validada, voc� pode encontrar os seguintes problemas:

Integridade de dados pode ser comprometida.
Podem ser definidos e ler cookies.
Entrada de usu�rio pode ser interceptada.
Scripts mal-intencionados podem ser executados pelo cliente no contexto de fonte confi�vel.

Quais p�ginas da Web correm risco? Essencialmente, o problema afeta a cria��o de p�gina din�mica com base na entrada que n�o foi validada. Exemplos t�picos incluem os seguintes tipos de p�ginas da Web:

Mecanismos de pesquisa retornam p�ginas de resultados com base na entrada do usu�rio.
P�ginas de login que armazenam contas de usu�rio em bancos de dados, cookies e assim por diante e posteriormente escrever o nome de usu�rio para o cliente.
Formul�rios da Web que processam informa��es de cart�o de cr�dito.

Voltar para o in�cio

Preven��o

Esta se��o apresenta algumas abordagens para impedindo ataques de seguran�a script entre sites. Avalie sua situa��o espec�fica para determinar quais t�cnicas funcionar� melhor para voc�. � importante observar que, em todas as t�cnicas, voc� est� validando dados que receber de entrada e n�o seu script confi�vel. Essencialmente, a preven��o significa que voc� siga boa pr�tica de codifica��o executando verifica��es de sanidade na sua entrada para suas rotinas.

A lista a seguir descreve abordagens gerais para impedir ataques de script entre sites:

Codifica a sa�da com base em par�metros de entrada.
Filtre par�metros de entrada de caracteres especiais.
Sa�da de filtro com base em par�metros de entrada de caracteres especiais.

Quando voc� filtra ou codifica, voc� deve especificar um conjunto de caracteres para suas p�ginas da Web garantir que seu filtro est� verificando os caracteres especiais apropriados. Seq��ncias de bytes que s�o consideradas especiais com base no conjunto espec�fico de caracteres devem filtrar dados que s�o inseridos em p�ginas da Web. Um charset popular � ISO 8859-1, qual era o padr�o em vers�es anteriores de HTML e HTTP. Voc� deve levar em conta problemas de localiza��o quando voc� alterar esses par�metros.

Codifique a sa�da com base em par�metros de entrada de caracteres especiais

Codifica dados recebidos como entrada quando voc� escreve como HTML. Essa t�cnica � eficaz em dados que n�o foi validados por algum motivo durante a entrada. Usando t�cnicas como HTMLEncode e URLEncode, voc� pode impedir que scripts mal-intencionados em execu��o.

Os trechos de c�digo a seguir demonstram como usar HTMLEncode e URLEncode de p�ginas Active Server Pages (ASP):

<%
      var BaseURL = http://www.mysite.com/search2.asp?searchagain=;
      Response.write("<a href=\"" + BaseUrl +
      Server.URLEncode(Request.QueryString("SearchString")) +
      "\">click-me</a>");
%>
<% Response.Write("Hello visitor <I>" +
      Server.HTMLEncode(Request.Form("UserName")) +
      "</I>");
%>

se voc� codificar o HTML e URLs, voc� precisa especificar a p�gina de c�digo como voc� faria se estivesse filtrar dados.

� importante observar que chamar HTMLEncode na seq��ncia de caracteres est� prestes a ser exibido para impedir qualquer script em que ele seja executado e, portanto, impede que o problema.

Filtrar par�metros de entrada de caracteres especiais

Filtragem de entrada funciona removendo alguns ou todos os caracteres especiais da sua entrada. Caracteres especiais s�o caracteres ativar script gerado dentro de um fluxo HTML. Caracteres especiais incluem o seguinte:

< > " ' % ; ) ( & + -

Observa��o que sua situa��o individual pode exigir a filtragem de caracteres adicionais ou seq��ncias de caracteres al�m caracteres especiais.

Enquanto a filtragem pode ser uma t�cnica eficaz, h� algumas advert�ncias:

Filtragem pode n�o ser apropriada para alguma entrada. Por exemplo, em cen�rios onde voc� est� recebendo entrada <text>de um formul�rio HTML, voc� em vez disso, pode escolher um m�todo como codifica��o (veja abaixo).
Alguns caracteres filtradas podem ser realmente entrada necess�ria para o script do lado do servidor.

O filtro de exemplo seguinte, que est� escrito em JavaScript, demonstra como remover caracteres especiais:

function RemoveBad(strTemp) { 
    strTemp = strTemp.replace(/\<|\>|\"|\'|\%|\;|\(|\)|\&|\+|\-/g,""); 
    return strTemp;
}

o seguinte c�digo processa a entrada do usu�rio antes de armazen�-los para uso posterior.

<% Session("StoredPreference") = RemoveBad(Request.Cookies("UserColor"));
         var TempStr = RemoveBad(Request.QueryString("UserName"));

Sa�da de filtro com base em par�metros de entrada de caracteres especiais

Essa t�cnica � semelhante � filtragem de entrada, exceto que voc� filtrar caracteres que s�o gravadas para o cliente. Embora isso pode ser uma t�cnica eficaz, ele pode apresentar um problema para p�ginas da Web que escrever elementos HTML.

Por exemplo, em uma p�gina que grava fora <TABLE>elementos, uma fun��o gen�rica que remove os caracteres especiais seria retirar o < e > caracteres, piora marca <TABLE>. Portanto, em ordem para essa t�cnica ser �til, voc� teria apenas filtrar dados passados ou dados que foi anteriormente inseridos pelo usu�rio e armazenados em um banco de dados.

Poss�veis fontes de dados mal-intencionados

Enquanto o problema se aplica a qualquer p�gina que usa entrada para gerar HTML dinamicamente, a seguir est�o alguns poss�veis fontes de dados mal-intencionados para ajudar voc� a sele��o de cores especiais para poss�veis riscos de seguran�a:

String de consulta
Cookies
Dados postados
URLs e pe�as de URLs, como PATH_INFO
Dados recuperados de usu�rios que persistentes de alguma forma, como em um banco de dados

Voltar para o in�cio

Conclus�o

Concluindo, a seguir � pontos-chave a serem lembrados sobre o problema de seguran�a de script entre sites:

O problema afeta a cria��o de p�gina din�mica com base na entrada que n�o foi validada.
Omiss�o de uma verifica��o de sanidade em dados de entrada pode ter implica��es de seguran�a inesperado. O problema � preventable por meio de padr�es de desenvolvimento boa como valida��o de entrada.
Voc� precisa avaliar solu��es em um por site, p�gina e at� mesmo campo base e usar uma t�cnica que faz sentido.

Voltar para o in�cio

Refer�ncias

Para obter mais informa��es, consulte o seguinte comunicado do computador CERT Emergency Response Team () na Carnegie Mellon University:

http://www.cert.org/advisories/CA-2000-02.html (http://www.cert.org/advisories/CA-2000-02.html)

Para obter mais informa��es, clique nos n�meros abaixo para ler os artigos na Base de dados de Conhecimento:

253117� (http://support.microsoft.com/kb/253117/ ) Internet Explorer e Outlook Express impedindo intersite script problemas de seguran�a

253119� (http://support.microsoft.com/kb/253119/ ) Como revisar o c�digo ASP para vulnerabilidade CSSI

253120� (http://support.microsoft.com/kb/253120/ ) Como revisar Visual InterDev gerado c�digo para vulnerabilidade CSSI

253121� (http://support.microsoft.com/kb/253121/ ) Como revisar o c�digo ASP/MTS para vulnerabilidade CSSI

Voltar para o in�cio

A informa��o contida neste artigo aplica-se a:

Microsoft Active Server Pages 2.0
Microsoft Active Server Pages 3.0
Microsoft Windows 2000 Server

Voltar para o in�cio

kbmt kbcodesnippet kbcssi kbhowto kbsecurity KB252985 KbMtpt

Voltar para o in�cio

Tradu��o autom�tica

IMPORTANTE: Este artigo foi traduzido por um sistema de tradu��o autom�tica (tamb�m designado por Machine Translation ou MT), n�o tendo sido portanto traduzido ou revisto por pessoas. A Microsoft possui artigos traduzidos por aplica��es (MT) e artigos traduzidos por tradutores profissionais, com o objetivo de oferecer em portugu�s a totalidade dos artigos existentes na base de dados de suporte. No entanto, a tradu��o autom�tica n�o � sempre perfeita, podendo conter erros de vocabul�rio, sintaxe ou gram�tica. A Microsoft n�o � respons�vel por incoer�ncias, erros ou preju�zos ocorridos em decorr�ncia da utiliza��o dos artigos MT por parte dos nossos clientes. A Microsoft realiza atualiza��es freq�entes ao software de tradu��o autom�tica (MT). Obrigado.

Clique aqui para ver a vers�o em Ingl�s deste artigo: 252985� (http://support.microsoft.com/kb/252985/en-us/ )

Voltar para o in�cio

This site in other countries/regions:

Como evitar problemas de seguran�a scripts intersites

Aviso

Nesta p�gina

Sum�rio

Mais Informa��es

O problema

Ramifica��es

Preven��o

Codifique a sa�da com base em par�metros de entrada de caracteres especiais

Filtrar par�metros de entrada de caracteres especiais

Sa�da de filtro com base em par�metros de entrada de caracteres especiais

Poss�veis fontes de dados mal-intencionados

Conclus�o

Refer�ncias

A informa��o contida neste artigo aplica-se a:

Palavras-chave:�

Forne�a coment�rios sobre essa informa��o

Outros Sites de Suporte

Comunidades

Tradu��es deste artigo

Centros de suporte relacionados