Czy standardowe Html.DisplayTextFor() bez kodowania HTML?

Question

Obecnie zajmujemy się niektórymi problemami XSS w jednym z naszych projektów ASP.NET MVC. Znalazłem dwie kwestie - pierwsza dotyczy naszego wzoru sprawdzania poprawności żądania. Atakujący może teraz użyć tej luki w zabezpieczeniach, aby usunąć złe treści z naszej bazy danych.

Drugim zagadnieniem jest to, jak wyświetlamy te treści i używamy metody Html.DisplayTextFor, która wydaje się być "zepsuta".

Wystarczy utworzyć nowy MVC 3 webapp, umieścić to w HomeController:

public class HomeController : Controller 
{ 
    public ActionResult Index() 
    { 
     ViewBag.Message = "<SCRIPT/XSS SRC=\"htpp://ha.ckers.org/css.js\">"; 

     User foo = new User(); 
     foo.Name = "<SCRIPT/XSS SRC=\"htpp://ha.ckers.org/css.js\">"; 

     return View(bla); 
    } 

    public ActionResult About() 
    { 
     return View(); 
    } 
} 

public class User 
{ 
    public string Name { get; set; } 
} 

The View:

@Html.TextBoxFor(m => m.Name) <br/> ||| <-- will be encoded 

@Html.Encode(ViewBag.Message)<br/> ||| <-- will be double encoded 

@Model.Name <br/> ||| <-- will be encoded 

@Html.DisplayTextFor(m => m.Name) <-- no encoding 
<br/> ||| 

Wyjście DisplayTextFor będzie cały ciąg <script xss="" src="htpp://ha.ckers.org/css.js">

Pytanie to: Bug, funkcja lub czy używam go źle?

Answer 1

Html.DisplayTextFor jest tak naprawdę do interakcji z atrybutem [DisplayFormat] (see MSDN).

Więc jeśli używasz go z niebezpiecznymi wartościami, musisz być tego świadomy i użyć [DisplayFormat(HtmlEncode = true)] w swojej nieruchomości.

Edytuj: Wygląda na to, że właściwość HtmlEncode nie jest faktycznie wymuszana przez DataAnnotationsModelMetadataProvider (i DisplayTextFor).