Το Cross Site Scripting Attack δεν είναι σφάλμα αλλά τύπος επίθεσης από χάκερ. To ValidateRequest attribute σε προστατεύει από τέτοιες επιθέσεις, ελέγχοντας το input στη σελίδα. Το οποίο σημαίνει ότι κάτι περίεργο έχεις κάπου και προκαλεί αυτό το πρόβλημα. Σκέψου ότι το ValidateRequest είναι true by default, οπότε θα έπρεπε να σκάνε όλες οι εφαρμογές ASP.NET αν υπήρχε κάποιο πρόβλημα ή χρειαζόταν κάποια ιδιαίτερη ρύθμιση.

Θα πρέπει τουλάχιστον να μας πεις τί σφάλμα παίρνεις? Το exception που εμφανίζεται είναι το HttpRequestValidationException, αλλά τί στοιχεία σου δίνει? Μήπως έχεις βάλει html ή script μέσα σε κάποιο text box? Αυτό εννοείς στο #2? Μήπως δηλαδή προσπαθείς να φτιάξεις κάποιο editor? Αν αυτό εννοείς, ο λόγος που δεν χτυπάει στους διάφορους editors είναι γιατί οι editors ΔΕΝ δέχονται HTML ή script σε textbox, αλλά χρησιμοποιούν διάφορα κόλπα για να παρουσιάσουν ό,τι γράφεις μέσα σε DIVs, παραγράφους και IFRAMEs. Για παράδειγμα, ο editor του DotNetZone είναι ένα IFRAME. Η παρακάτω γραμμή δεν είναι script, αλλά το κείμενο ενός <P>. Αν θες να φτιάξεις το δικό σου editor καλύτερα να ξεκινήσεις διαβάζοντας τον κώδικα κάποιου έτοιμου open Source όπως ο FCKEditor.

alert();

Επίσης, καλό είναι να κάνεις σαφείς ερωτήσεις και να δίνεις αρκετές πληροφορίες, όπως το κείμενο του error message. Διαβάζοντας στο documentation τί κάνει το ValidateRequest και το παράδειγμα του HttpRequestValidationException υπέθεσα ότι προσπάθησες να βάλεις HTML ή script σε κάποιο TextBox. Αλλά δεν έχω ιδέα αν το "έπιασα" ή όχι. Μπορεί π.χ. να είδες κάτι στο event log ενός production server, το οποίο σημαίνει ότι μποπρεί ήδη να δέχεσαι επίθεση από hackers. Μπορεί το μήνυμα να σου ήρθε από κάποιο third party control, όπως .... ο FCKEditor οπότε ότι έγραψα είναι άσχετο.

---

Παναγιώτης Καναβός, Freelancer
Twitter: http://www.twitter.com/pkanavos

Όντως, το Cross Site Scripting Attack είναι επίθεση από χάκερ, μάλλον έγραψα σφάλμα γιατί σκεφτόμουν ότι θα έχω κάνει κάποιο λάθος στο κώδικα οπότε θα οδηγούσε σε "σφάλμα".

• Ναι μέσα σε textbox έχω βάλει html κώδικα.
• O κώδικας λάθους είναι παρακάτω

Server Error in '/Cubeware' Application.

A potentially dangerous Request.Form value was detected from the client (ProductManagementFormView$DescriptionTextBox="<p>Το Hotel Works τη...").

Description: Request Validation has detected a potentially dangerous client input value, and processing of the request has been aborted. This value may indicate an attempt to compromise the security of your application, such as a cross-site scripting attack. You can disable request validation by setting validateRequest=false in the Page directive or in the configuration section. However, it is strongly recommended that your application explicitly check all inputs in this case.

Exception Details: System.Web.HttpRequestValidationException: A potentially dangerous Request.Form value was detected from the client (ProductManagementFormView$DescriptionTextBox="<p>Το Hotel Works τη...").

• Δεν φτιάχνω editor, είναι έτοιμος
• Συγνώμη που δεν έγραψα περισσότερες πληροφορίες
  

Οπότε το πρόβλημα είναι ότι ο χρήστης έβαλε <p> μέσα στο DescriptionTextBox. Αν αυτός είναι ο editor, έχεις πρόβλημα. Ή θα πρέπει να βρεις άλλο καλύτερο, ή να τον διορθώσεις έτσι ώστε να μην περνάει tags χύμα. Μπορείς επίσης να απενεργοποιήσεις το ValidateRequest για τη σελίδα, αλλά μετά θα πρέπει να κάνεις εσύ validate ότι πχ. το DescriptionTextBox δεν περιέχει scripts ή links σε άλλα sites, frames τα οποία κοιτάνε σε άλλα sites, κλπ, κλπ, κλπ.

---

Παναγιώτης Καναβός, Freelancer
Twitter: http://www.twitter.com/pkanavos

Υπάρχει το documentation. Κοίτα το "Script Exploits Overview" και το "How To: Protect agains script exploits by applying HTML Encoding to strings".

---

Παναγιώτης Καναβός, Freelancer
Twitter: http://www.twitter.com/pkanavos

Arigato

Νομίζω ότι το πρόβλημα σου είναι ότι ο Rich Text Editor που χρησιμοποιείς γράφει στο postback data το raw html output που έχει βγάλει και γι'αυτό παίρνεις το error (δεν είναι ακριβώς ορθή αυτή η ανάλυση αλλά προσπαθώ να το κρατήσω σε απλό επίπεδο, μην βαράτε οι υπόλοιποι). Παρόμοια θέματα μπορεί να έχεις αν χρησιμοποιείς 3rd party controls που θέλουν scriptmanager για να τρέξουν (ή τουλάχιστον έτσι θυμάμαι).  Για την δεύτερη περίπτωση, δεν υπάρχει εύκολη λύση. για την πρώτη ένα απλό Server.HTMLEncode (myeditor.text) και το αντίστοιχο Server.HTMLDecode όταν ενημερώνεις τα περιεχόμενα του editor μπορεί να εξαφανίσουν το μήνυμα λάθους χωρίς να χρειάζονται περαιτέρω διαδικασίες.

 

---

The people of the straight land have really got it made, a warm friendly sleep from the craddle to the grave