绕过Firefox的HTML消毒剂API

加雷斯·海斯（Gareth Heyes）

研究员

@garethheyes

• 发布：2022年6月29日在14:00 UTC

• 更新：2022年7月4日在07:46 UTC

这HTML消毒剂是一个很棒的新API，允许Web开发人员在浏览器中本地过滤不受beplay体育能用吗信任的HTML，而不是使用JavaScript库，例如DOM PURIFY。Microsoft在2008年为Internet Explorer创建了一个类似的API，但它是谜和孔并且没有被广泛采用或标准化。希望消毒剂将获得更多成功。

使用本机浏览器功能的优点是显而易见的。如果浏览器用于过滤HTML，则可以使用自己的解析器来确保不信任的HTML始终如一地过滤。

但是，与过滤后的HTML的实际现实相比，消毒剂认为的安全性可能存在分歧。一个这样的例子是SVG“使用”元素；我们已经过去显示的“使用”元素可用于执行任意JavaScript通过使用数据URL。

消毒剂通过使用数据URL和相对URL阻止SVG导入来防止这些攻击。但是，只要它们的起源相同，它允许从绝对URL中进口SVG。这意味着，如果目标站点允许上传SVG文件的文件，并通过使用Content-Disposition强制下载：附件来保护它，则仍然可以执行任意JavaScript。

概念证明

这是消毒剂不正确地过滤的不受信任的HTML的结果：

输入：

输出：