ASP.NET 4.0'da MVC'ye gelen yeni bir özellikten bahsedeceğim.
Ama önce XSS'in ne olduğunu ve bu saldırıların nelere sebep olabileceğini bilmiyorsanız XSS Nedir? adlı makalemi okumalısınız.
DOĞRU ama ESKİ YÖNTEM
Eski MVC sürümlerinde XSS ataklarını önleyebilmemiz için
<%= Html.Encode("<script>alert('Merhaba XSS')</script>")%>
DOĞRU ve YENİ YÖNTEM
Asp.Net 4.0 ile gelen yeni özellik = yerine : işareti kullanıyoruz. Encode ederek yaz anlamında.
<%: "<script>alert('Merhaba XSS')</script>" %>
İki türlü de XSS atağını önledik peki ya bunu aşağıdaki gibi direk Response.Write ile yazsaydık neler olurdu?
YANLIŞ YÖNTEM
<%= "<script>alert('Merhaba XSS')</script>"%>
Gördüğünüz gibi XSS atağını şuan yemiş bulunmaktayız :)
İyi çalışmalar.
Abone Ol