¿Cómo omitir la validación de solicitud de .Net 4.5 para un ataque XSS?

Hay una serie de lugares en los que se puede omitir la validación de la Solicitud, dependiendo de la arquitectura y la función de la aplicación que se esté revisando, por lo que es probable que Microsoft no recomiende confiar en ella.

• Los datos que ingresan a la aplicación a través de otro canal (por ejemplo, una API) no se verán afectados por la validación de la solicitud y, por lo tanto, podrían causar problemas de XSS si esos datos se procesan sin ningún control adicional.
• La validación de solicitudes solo ayuda realmente cuando los datos se colocan en un contexto HTML, donde se colocan en un contexto de JavaScript, por ejemplo, no ofrece una buena protección.
• La validación de la solicitud no cubre todos los datos enviados desde el cliente. Por ejemplo, si la aplicación procesa datos de los encabezados HTTP del usuario (por ejemplo, el agente del usuario), puede hacer que el sitio sea vulnerable a XSS.
• Los datos pueden ingresar a la aplicación a través de áreas como la carga de archivos, que de nuevo no siempre activará la validación de la solicitud.

Actualizar Otro que podría omitir la Validación de la Solicitud es el uso de ciertos caracteres Unicode en lugar de los bloqueados. En algunos casos, el servidor MS SQL convertirá estos caracteres en el equivalente ASCII cuando los datos se guarden en la base de datos. Esto puede permitir que una aplicación ASP.Net sea vulnerable a XSS incluso con un vector HTML. por ejemplo

＜ script ＞ alerta (1) ＜/script＞

si se guarda y devuelve, podría resultar en xss.

Si el contexto de la página del XSS es una etiqueta en un atributo de entrada, por ejemplo,

<input type="text" name="address" value="<xsshere>"/>

Entonces, la siguiente carga útil funciona:

" onfocus="alert(1)" autofocus="

Observaría que si está utilizando los proveedores de enlace predeterminados en ASP.net MVC y su JSON de publicación en un controlador, el JSON publicado no activará ninguna validación de solicitud, incluso cuando haya contenido "peligroso".

Esto podría demostrarse de forma relativamente trivial con un simple formulario de ASP.net que se publica de manera estándar y activará la validación. Tomar los mismos datos publicados y publicarlos en la misma acción que JSON a través de fiddler (por ejemplo) no daría lugar a la misma validación.

Ejemplo observado aquí:

enlace

Y también comentó en el sitio de OWASP a solicitud de validación:

enlace

  

Existen derivaciones conocidas y documentadas (como las solicitudes JSON) que   No se abordará en futuras versiones, y la validación de la solicitud.   La función ya no se proporciona en ASP.NET vNext.