En la hoja de trucos OWASP XSS está escrito
Además de los 5 caracteres significativos en XML (& amp ;, & lt ;, & gt ;, ", '), la barra diagonal se incluye ya que ayuda a finalizar una entidad HTML.
Así que las escapadas recomendadas son
& --> &
< --> <
> --> >
" --> "
' --> '
/ --> /
¿Qué pasa si me salté los escapes de / ? ¿Cuáles son los ejemplos de carga útil del atacante que usan solo / que puede desencadenar XSS u otro ataque (suponiendo que se escaparon & < > " ' )?
En mi caso particular, tenemos un filtro XSS en el servlet de Java, que desinfecta la carga útil de todas las solicitudes HTTP entrantes (se puede argumentar si es una buena solución o no), y reemplaza / --> / , que es un dolor porque / es un carácter válido en nombres de calles, etc. Una opción sería redecodificar / --> / , pero me pregunto si hay algún mérito de mantener / escapado.
Editar: por qué no quiero que / se escape:
El / se escapa antes de que los datos lleguen al código de Java , que guarda las cosas en la base de datos. Entonces, Java le pide a la base de datos que guarde los datos escapados, luego, cuando la aplicación frontend le pide a Java que nos devuelva los datos, nos devuelve un JSON como
{something: "a / b"}
en lugar de
{something: "a / b"}
(para solucionarlo, podríamos tener iterado el código Java sobre la estructura que devuelve y desbloquearlo, pero tal vez no tenga sentido escapar de él en primer lugar)
Tenga en cuenta que el mismo backend es consumido por muchos frontends, algunos de ellos no HTML. No tiene ningún sentido servir los datos HTML escapados como JSON, especialmente para los consumidores que no utilizan HTML (corríjame si me equivoco).
Además, en la aplicación HTML, usamos código Angular como este
<p>Hello {{name}}!</p>
que, cuando se le da a / b , imprimirá esa cadena literalmente al usuario (es decir, angular realiza otra ronda de escape reemplazando & a & , etc.).
Para que se interpreten las entidades HTML, tendría que usar ng-bind-html (consulte este plunk )
<p>Hello <span ng-bind-html="name"></span>!</p>
pero espero que mi contenido JSON sea texto regular, por lo que no quiero usar ng-bind-html , ya que reduce la seguridad.