bluemonday — bluemonday : un assainisseur HTML rapide en golang (inspiré de l'OWASP Java HTML Sanitizer) pour nettoyer le contenu généré par les utilisateurs des XSS | Kitploit

bluemonday

bluemonday est un assainisseur HTML implémenté en Go. Il est rapide et hautement configurable.

bluemonday prend en entrée du contenu généré par l'utilisateur non fiable et renvoie du HTML qui a été assaini en fonction d'une liste blanche d'éléments et d'attributs HTML approuvés, afin que vous puissiez inclure ce contenu en toute sécurité dans votre page web.

Si vous acceptez du contenu généré par l'utilisateur et que votre serveur utilise Go, vous avez besoin de bluemonday.

La politique par défaut pour le contenu généré par l'utilisateur (bluemonday.UGCPolicy().Sanitize()) transforme ceci :

Hello <STYLE>.XSS{background-image:url("javascript:alert('XSS')");}</STYLE><A CLASS=XSS></A>World

package main

import (
	"fmt"

	"github.com/microcosm-cc/bluemonday"
)

func main() {
	// Faites cela une fois pour chaque politique unique et utilisez la politique pour la durée de vie du programme
	// La création/édition de politique n'est pas sûre à utiliser dans plusieurs goroutines
	p := bluemonday.UGCPolicy()

	// La politique peut ensuite être utilisée pour assainir beaucoup d'entrées et il est sûr d'utiliser la politique dans plusieurs goroutines
	html := p.Sanitize(
		`<a onblur="alert(secret)" href="http://www.google.com">Google</a>`,
	)

	// Sortie :
	// <a href="http://www.google.com" rel="nofollow">Google</a>
	fmt.Println(html)
}

package main

import (
	"fmt"

	"github.com/microcosm-cc/bluemonday"
)

func main() {
	p := bluemonday.NewPolicy()

	// Exiger que les URL soient analysables par net/url.Parse et soient soit :
	//   mailto: http:// ou https://
	p.AllowStandardURLs()

	// Nous n'autorisons que <p> et <a href="">
	p.AllowAttrs("href").OnElements("a")
	p.AllowElements("p")

	html := p.Sanitize(
		`<a onblur="alert(secret)" href="http://www.google.com">Google</a>`,
	)

	// Sortie :
	// <a href="http://www.google.com">Google</a>
	fmt.Println(html)
}

p.AllowAttrs("style").OnElements("span", "p")
// Autoriser la propriété 'color' avec des valeurs hexadécimales RVB(A) valides uniquement (sur tout élément autorisé avec un attribut 'style')
p.AllowStyles("color").Matching(regexp.MustCompile("(?i)^#([0-9a-f]{3,4}|[0-9a-f]{6}|[0-9a-f]{8})$")).Globally()

p.AllowAttrs("style").OnElements("span", "p")
// Autoriser la propriété 'text-decoration' à être définie comme 'underline', 'line-through' ou 'none'
// uniquement sur les éléments 'span'
p.AllowStyles("text-decoration").MatchingEnum("underline", "line-through", "none").OnElements("span")

p.AllowAttrs("style").OnElementsMatching(regex.MustCompile(`^my-element-`))
// Autoriser la propriété 'text-decoration' à être définie comme 'underline', 'line-through' ou 'none'
// uniquement sur les éléments 'span'
p.AllowStyles("text-decoration").MatchingEnum("underline", "line-through", "none").OnElementsMatching(regex.MustCompile(`^my-element-`))

myHandler := func(value string) bool{
	// Validez votre entrée ici
	return true
}
p.AllowAttrs("style").OnElements("span", "p")
// Autoriser la propriété 'color' avec des valeurs validées par le gestionnaire (sur tout élément autorisé avec un attribut 'style')
p.AllowStyles("color").MatchingHandler(myHandler).Globally()


// Permet les attributs "dir", "id", "lang", "title" globalement
p.AllowStandardAttributes()

// Permet l'élément "img" et ses attributs standard
p.AllowImages()

// Permet les listes ordonnées et non ordonnées, ainsi que les listes de définitions
p.AllowLists()

// Permet les tableaux HTML et tous les éléments applicables et attributs non stylistiques
p.AllowTables()

// Cela ne dit pas où les attributs sont autorisés, vous devez ajouter
// .Globally() ou .OnElements(...)
// Cela sera ignoré sans erreur.
p.AllowAttrs("value")

// Cela ne dit pas où les attributs sont autorisés, vous devez ajouter
// .Globally() ou .OnElements(...)
// Cela sera ignoré sans erreur.
p.AllowAttrs(
	"type",
).Matching(
	regexp.MustCompile("(?i)^(circle|disc|square|a|A|i|I|1)$"),
)

bluemonday

Populaires

Résumé technique

Est-ce prêt pour la production ?

Utilisation

Construction de politique

CSS en ligne

Liens

Aides à la construction de politique

Instructions invalides

Limitations

À FAIRE

Objectifs à long terme