ODataController Cross site scripting (content-sniffing)

前言

最近同事詢問一個 ODataController 被黑箱打到的一個 XSS 問題。
ODataController 允許我們使用 $count, $select 等操作。
我們用一個簡單的 webapi 專案來測試，新增 WebApi 專案後，加入「Microsoft.AspNet.OData」。
詳細可以參考 Create an OData v4 Endpoint Using ASP.NET Web API。

測試

建立 Product Model ，

public class Product
{
  public int Id { get; set; }
  public string Name { get; set; }
  public decimal Price { get; set; }
}

因為只要測試 odata ，所以在 WebApiConfig.cs 只需設定 OData 的部份，如下，

public static class WebApiConfig
{
    public static void Register(HttpConfiguration config)
    {
        config.MapHttpAttributeRoutes();
        var builder = new ODataConventionModelBuilder();
        config.Count().Filter().OrderBy().Expand().Select().MaxTop(null); //new line
        builder.EntitySet<Product>("Products");
        config.MapODataServiceRoute(
          routeName: "odata",
          routePrefix: "odata",
          model: builder.GetEdmModel());
    }
}

建立測試的 ODataController

public class ProductsController : ODataController
{
  [EnableQuery]
  public IHttpActionResult Get(ODataQueryOptions<Product> opts)
  {
    var products = new List<Product>() {
      new Product{Id=1, Name="Product 1***", Price=101},
      new Product{Id=2, Name="Product 2***", Price=202}
    };
    return Ok(products);
  }
}

所以執行出來的結果如下，

http://localhost:50758/odata/Products?$count=true

正常的 $count 的值允許為 true/false。
但是黑箱卻給它輸入以下的值，

$count=<ScRiPt>cXfm(9342)</ScRiPt>

因為直接把 url 上的內容直接輸出了，所以就被黑箱說有 XSS 問題。

解法

從上面可以發現，雖然它有錯誤的訊息出來，但程式卻會正常執行到 OK。
只是在 ODataQueryOptions opts 中的 count.value 屬性會有錯誤，如下，

即然沒有錯誤，那要在那裡去將錯誤訊息 Encode 呢?
我們可以透過 opts.ApplyTo 去驗證它們，如果有錯誤的話，就建立 ODataException ，並將訊息 Encode ，如下，

[EnableQuery]
public IHttpActionResult Get(ODataQueryOptions<Product> opts)
{
  var products = new List<Product>() {
    new Product{Id=1, Name="Product 1***", Price=101},
    new Product{Id=2, Name="Product 2***", Price=202}
  };
  try
  {
    //only validate ODataQueryOptions
    opts.ApplyTo((new List<Product>()).AsQueryable());
    return Ok(products);
  }
  catch(Exception ex)
  {
    throw new ODataException(HttpUtility.JavaScriptStringEncode(ex.ToString()));
  }
}

所以再執行一次，就可以發現錯誤訊息都有被 Encode 了。