// Outputting Unsanitized User Input with Html.Raw()

@Html.Raw("<h1>Welcome, " + Request.Params["var"] + "</h1>")

// Retrieve User Address from DB and Present It in View inside 
// a Javascript Context using Razor, Which Does Not Properly 
// Encode Certain Meta-Characters in the JS Context

<script>alert(`Welcome, @Request.Params["var"]`);</script> 

// Outputting User Input to HTML Using Razor, Which Properly Encodes HTML Tags

<h1>Welcome, @Request.Params["var"]</h1>

`); alert(1); //

// Returning Data To Clients Without Encoding

protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    
    response.setContentType("text/html;charset=UTF-8");
      
    PrintWriter out = response.getWriter();
    String loc = request.getParameter("location");
  
    out.println("<h1> Location: " + loc + "</h1>");
}

// Returning Data to Clients After Encoding The User Input
// Using HtmlEscapers by Google Guava

protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
    
    response.setContentType("text/html;charset=UTF-8");
      
    PrintWriter out = response.getWriter();
    String loc = request.getParameter("location");
    String escapedLocation = HtmlEscapers.htmlEscaper().escape(loc);
  
    out.println("<h1> Location: " + escapedLocation + "</h1>");
}

// Outputting Unsanitized Inputs into HTML Results in XSS

if (isset($_GET['name'])) {
    echo "<h1>Welcome," . $_GET['name'] . "!</h1>";
}

// Insecure Use of "htmlspecialchars" Without a Secure Flag

if (isset($_GET['name'])) {
    
    echo "<script> var name = '" . htmlspecialchars($_GET['name']) . "';</script>\r\n";
    
}

'; alert(1); //

// Insecure Use of "htmlspecialchars" With "ENT_QUOTES" Flag

if (isset($_GET['name'])) {

    echo "<script> var name = `" . htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8') . "`;</script>";

}

`; alert(1); //

// Secure Use of "htmlspecialchars" With "ENT_QUOTES" Flag

if (isset($_GET['name'])) {
    
    //ENT_QUOTES flag sanitizes apostrophe
    
    echo "";

}

// Insecure Use of "htmlspecialchars" With "ENT_COMPAT" Flag

if (isset($_GET['name'])) {

    echo "<script> var name = '" . htmlspecialchars($_GET['name'], ENT_COMPAT, 'UTF-8') . "';</script>";

}

'; alert(1); //

// Secure Use of "htmlspecialchars" With "ENT_COMPAT" Flag

if (isset($_GET['name'])) {

    //ENT_COMPAT flag sanitize quotation marks

    echo "";

}

# Reflecting Request Data To Clients in "Raw" Output

# Controller:
class PagesController < ApplicationController
    def home
        @greeting = "<h1>Welcome, new user!</h1>"
        if params[:name]
            @greeting = "<h1>Welcome " + params[:name] + "!</h1>"
        end
    end
end

# View Fragment:
<%=raw @greeting %&>

# Relying on Rails Output to HTML Encode Outputs

# Controller:
class PagesController < ApplicationController
    def home
        @greeting = "<h1>Welcome, new user!</h1>"
        if params[:name]
            @greeting = params[:name]
        end
    end
end

# View Fragment:
<h1>Welcome <%=@greeting %>!</h1>

• Kaynağa bakılmaksızın tüm istemci girdileri çıktıya gömülmeden önce encode’lanmalıdır (kodlanmalıdır / etkisizleştirilmelidir).
  
  
• Encode’lama (kodlama / etkisizleştirme) işlemi içeriğe / bağlama (context’e) uygun olmalıdır. Örneğin HTML context’i (bağlamı) için HTML encode’laması (kodlaması), sunucu tarafından üretilen Javascript context’i (bağlamı) için Javascript encode’laması (kodlaması) gibi. Eğer içeriğe / context’e (bağlama) uygun encode’lama (kodlama) yapılmazsa encode’lama arzu edilen XSS önlemini sunamaz.
  
  
• OWASP ESAPI kütüphanelerinin kullanılması ya da ASP.NET'in eski sürümleri için AntiXSS kütüphanesinin kullanılması önerilmektedir.
  
  Örneğin eski bir ASP.NET web uygulaması HttpResponse oluşturmak için "Referer" alan dizesini kullanıyor olsun.
  
  

  
  public class ReflectedXssAllClients {
      public static void foo(HttpRequest Request, HttpResponse Response)
          {
                 string Referer = Request.QueryString["Referer"];
                 Response.BinaryWrite(Referer);
          }
  }
  

  
  Bu dizeyi güvenli hale getirmek için AntiXSS kütüphanesi kullanılır.
  
  

  public class ReflectedXssAllClientsFixed
  {
          public static void foo(HttpRequest Request, HttpResponse Response, AntiXss.AntiXssEncoder encoder)
          {
                  string Referer = Request.QueryString["Referer"];
                  Response.BinaryWrite(encoder.HtmlEncode(Referer, true));
          }
  }
  

  
  Böylece bu kod bloğunda XSS önlenir.
  
  
• XSS açıklıkları çıktığında derinlikli defans (defense-in-depth) prensibi gereği çerez çalınmasını önlemek adına Set-Cookie http yanıt başlığı için “httpOnly” bayrağının yapılandırma dosyalarında “true” olarak tanımlanması önerilmektedir.
  
  
• Content Security Policy (CSP) http yanıt başlığı eklenmelidir ve whitelist denetimi olarak sadece uygulamaya has kaynaklar (js dosyaları) açıkça çalıştırılabilir şekilde tanımlanmalıdır.
  
  
• Encoding (kodlama / etkisizleştirme) yanında ilaveten whitelist olarak girdi doğrulama uygulanmalıdır. Girdi doğrulama beklenen veriler geliyorsa işleme sokulması, beklenen veriler gelmiyorsa işleme sokulmaması şeklinde whitelist mantığıyla çalışmalıdır. Girdi doğrulama beklenen veriler geliyorsa işleme sokulmaması, beklenen veriler gelmiyorsa işleme sokulması şeklinde blacklist mantığıyla çalışmamalıdır.
  
  

• https://www.owasp.org/index.php/Cross-site_Scripting_(XSS)
• https://www.w3schools.com/php/func_string_htmlentities.asp
• https://www.php.net/manual/en/function.htmlentities.php
• https://cwe.mitre.org/data/definitions/79.html