¿Qué tan confiable es la función de Validación de Solicitud de ASP.NET?

Como probador de penetración, he encontrado que "Solicitar validación" falla en varias situaciones. Los desarrolladores tienden a creer que "Request Validation" == "magic" , y los protege completamente de XSS, cuando en realidad esta falsa sensación de seguridad da lugar a problemas muy serios. Todas las formas de XSS basadas en DOM y XSS persistentes omitirán la "Validación de la solicitud", y hay otros casos en los que falla:

En este próximo caso, el atacante no necesita escribir una etiqueta HTML, simplemente escribiendo un URI de JavaScript que un atacante puede ejecutar JavaScript:

<a href="javascript:alert(1)">xss</a>
<iframe src="javascript:alert(1)" />

En este caso, el atacante ya está escribiendo dentro de una etiqueta de secuencia de comandos:

<script>
  var x=alert(1);
</script>

Sí, la validación de la solicitud predeterminada no es suficiente para evitar XSS, pero mucho depende de los detalles.

La validación de solicitud predeterminada simplemente filtra caracteres estándar como < o%, pero dependiendo de cómo se presentan los resultados, todavía es posible crear algo que se ejecutará. Ver los diferentes vectores de ataque para XSS. Hay muchas posibilidades de hacer XSS incluso con conjuntos de caracteres restringidos.