Guideline 3-1 / INJECT-1: Generate

Guideline 3-1 / INJECT-1: Generate valid formatting
Attacks using maliciously crafted inputs to cause incorrect formatting of outputs are well-documented [7]. Such attacks generally involve exploiting special characters in an input string, incorrect escaping, or partial removal of special characters.

If the input string has a particular format, combining correction and validation is highly error-prone. Parsing and canonicalization should be done before validation. If possible, reject invalid data and any subsequent data, without attempting correction. For instance, many network protocols are vulnerable to cross-site POST attacks, by interpreting the HTTP body even though the HTTP header causes errors.

Use well-tested libraries instead of ad hoc code. There are many libraries for creating XML. Creating XML documents using raw text is error-prone. For unusual formats where appropriate libraries do not exist, such as configuration files, create classes that cleanly handle all formatting and only formatting code.

ผลลัพธ์ (ไทย) 1:

ผลงานใส่ 1 / 3-1: สร้างรูปแบบที่ถูกต้องโจมตีโดยใช้ปัจจัยการผลิตที่สร้างขึ้นโดยทำรูปแบบแสดงผลไม่ถูกต้องแห่งเอกสาร [7] ได้ การโจมตีดังกล่าวโดยทั่วไปจะเกี่ยวข้องกับ exploiting อักขระพิเศษในสตริ หลบหนีไม่ถูกต้อง การเอาบางส่วนของอักขระพิเศษถ้าสตริงที่ป้อนเข้ามีรูปแบบเฉพาะ รวมการแก้ไขและตรวจสอบได้สูงผิดพลาดง่าย Parsing และ canonicalization ควรจะทำก่อนสอบ ถ้าเป็นไปได้ ปฏิเสธข้อมูลไม่ถูกต้องและข้อมูลต่อมา โดยไม่ต้องพยายามแก้ไข เช่น โพรโทคอลมากจะเสี่ยงต่อการข้ามไซต์การโจมตีลง โดยการตีความเนื้อหา HTTP แม้ว่าส่วนหัว HTTP ข้อผิดพลาดที่ทำให้ใช้ไลบรารีที่ห้องทดสอบแทนรหัสกิจ มีไลบรารีในการสร้าง XML สร้างเอกสาร XML โดยใช้ข้อความดิบเป็นข้อผิดพลาดได้ง่าย ในรูปแบบปกติที่ไลบรารีที่เหมาะสมไม่มีอยู่ เช่นแฟ้มตั้งค่าคอนฟิก สร้างจัดการอย่างเรียบร้อยทุกรูปแบบและรูปแบบรหัส

ผลลัพธ์ (ไทย) 2:

แนวทาง 3-1 / ฉีด-1: สร้างการจัดรูปแบบที่ถูกต้อง
การโจมตีโดยใช้ปัจจัยการผลิตที่สร้างขึ้นโดยมีเจตนาร้ายที่จะทำให้เกิดการจัดรูปแบบที่ไม่ถูกต้องของผลจะดีเอกสาร [7] การโจมตีดังกล่าวโดยทั่วไปเกี่ยวข้องกับการใช้ประโยชน์จากอักขระพิเศษในสายป้อนหนีไม่ถูกต้องหรือการกำจัดบางส่วนของตัวอักษรพิเศษ. หากสายเข้ามีรูปแบบโดยเฉพาะอย่างยิ่งการรวมและการตรวจสอบการแก้ไขข้อผิดพลาดได้ง่ายอย่างมาก การแยกและการกำหนดเวอร์ชันที่ควรจะทำก่อนที่จะตรวจสอบ ถ้าเป็นไปได้ปฏิเสธข้อมูลที่ไม่ถูกต้องและข้อมูลใด ๆ ในภายหลังโดยไม่ต้องพยายามแก้ไข ยกตัวอย่างเช่นโปรโตคอลเครือข่ายจำนวนมากมีความเสี่ยงต่อการเว็บไซต์ข้ามโจมตี POST โดยการตีความร่างกาย HTTP แม้ว่าส่วนหัว HTTP เกิดข้อผิดพลาด. ใช้ห้องสมุดดีทดสอบแทนการโฆษณารหัสเฉพาะกิจ มีห้องสมุดจำนวนมากสำหรับการสร้าง XML ที่มี การสร้างเอกสาร XML โดยใช้ข้อความดิบเป็นข้อผิดพลาดได้ง่าย สำหรับรูปแบบที่ผิดปกติที่ห้องสมุดที่เหมาะสมไม่อยู่เช่นแฟ้มการกำหนดค่าสร้างชั้นเรียนที่เรียบร้อยจัดการการจัดรูปแบบและการจัดรูปแบบเฉพาะโค้ด

ผลลัพธ์ (ไทย) 3:

แนวทาง 3-1 / inject-1 : สร้างการจัดรูปแบบการโจมตีโดยใช้ปัจจัยการผลิตที่ถูกต้อง
crafted มุ่งร้ายทำให้การจัดรูปแบบของการแสดงผลที่ไม่ถูกต้องเป็นอย่างดีเอกสาร [ 7 ] การโจมตีดังกล่าวมักจะเกี่ยวข้องกับการใช้ประโยชน์จากอักขระพิเศษในการป้อนข้อมูลสตริงที่ไม่ถูกต้องหนี หรือบางส่วนที่เอาตัวละครพิเศษ

ถ้าป้อนสตริงที่มีรูปแบบเฉพาะการแก้ไขและตรวจสอบมีข้อผิดพลาดได้ง่าย การ canonicalization ควรทำก่อนการตรวจสอบ ถ้าเป็นไปได้ ปฏิเสธข้อมูลที่ไม่ถูกต้องและข้อมูลที่ตามมาใด ๆโดยไม่พยายามแก้ไข ตัวอย่างโปรโตคอลเครือข่ายมากมาย มีความเสี่ยงต่อการโจมตีข้ามโพสต์เว็บไซต์ , โดยการตีความเนื้อความ http แม้ว่าส่วนหัว HTTP สาเหตุข้อผิดพลาด .

ใช้ดีทดสอบห้องสมุดแทนเฉพาะกิจ รหัส มีห้องสมุดหลายสำหรับการสร้าง XML การสร้างเอกสาร XML โดยใช้ข้อความดิบเป็นข้อผิดพลาดได้ง่าย ที่ผิดปกติรูปแบบที่ห้องสมุดที่เหมาะสมไม่ได้อยู่ เช่น ไฟล์ การสร้างห้องเรียนที่สะอาด จัดการกับ การจัดรูปแบบและการจัดรูปแบบรหัส