防止xss攻击的有效方法

胤禛与弘历 發表於 2016-1-19 15:11:42

最近，有个项目突然接到总部的安全漏洞报告，查看后知道是XSS攻击。
问题描述：
在页面上有个隐藏域：
<div class="codeText">
<div class="codeHead">XML/HTML Code复制内容到剪贴板</div>
<div id="code_4075">
<ol class="dp-xml">
<li class="alt"><input type = "hidden" id = "action" value = "${action}"/>　  　</li>
</ol>
</div>
</div>
当前页面提交到Controller时，未对action属性做任何处理，直接又回传到页面上
如果此时action被用户恶意修改为：***"<script>alert(1);</script>"***
此时当页面刷新时将执行alert(1)，虽然错误不严重，但是任何安全隐患都应受到重视。
解决思路：
该问题是由于对用户输入数据（隐藏域）未做任何处理，导致非法数据被执行，那么解决该问题的核心思路就是对用户数据做严格处理，对任何页面传递的数据都不应过分信任，处理方法如下：
1.在页面上对action参数做转义处理，${action?html}（前端技术采用freemarker），但是此种方法只能对单个属性有效，如果此时项目处于维护期且有大量此种问题，修复的难度较大且不便于统一维护
2.在服务端对用户数据做转义处理，此时需要创建一个filter，对request进行二次封装，核心代码如下：
<div class="codeText">
<div class="codeHead">Java Code复制内容到剪贴板</div>
<div id="code_5677">
<ol class="dp-j">
<li class="alt">import javax.servlet.http.HttpServletRequest;   </li>
<li>import javax.servlet.http.HttpServletRequestWrapper;   </li>
<li class="alt">    </li>
<li>import org.apache.commons.lang3.StringEscapeUtils;   </li>
<li class="alt">    </li>
<li>public class XssRequestWrapper extends HttpServletRequestWrapper {   </li>
<li class="alt">    </li>
<li>    public XssRequestWrapper(HttpServletRequest request) {   </li>
<li class="alt">        super(request);   </li>
<li>    }   </li>
<li class="alt">    </li>
<li>    public String getParameter(String name) {   </li>
<li class="alt">        String value = super.getParameter(name);   </li>
<li>        if (value == null) {   </li>
<li class="alt">            return null;   </li>
<li>        }   </li>
<li class="alt">        return StringEscapeUtils.escapeHtml4(value);   </li>
<li>    }   </li>
<li class="alt">    </li>
<li>    public String[] getParameterValues(String name) {   </li>
<li class="alt">        String[] values = super.getParameterValues(name);   </li>
<li>        if (values == null) {   </li>
<li class="alt">            return null;   </li>
<li>        }   </li>
<li class="alt">        String[] newValues = new String;   </li>
<li>        for (int i = 0; i < values.length; i++) {   </li>
<li class="alt">            newValues = StringEscapeUtils.escapeHtml4(values);   </li>
<li>        }   </li>
<li class="alt">        return newValues;   </li>
<li>    }   </li>
<li class="alt">}   </li>
</ol>
</div>
</div>
XssRequestWrapper是对request进行的二次封装，最核心的作用是对request中的参数进行转义处理（需要用到commons-lang3.jar）
定义filter，核心的代码如下：
<div class="codeText">
<div class="codeHead">Java Code复制内容到剪贴板</div>
<div id="code_8021">
<ol class="dp-j">
<li class="alt">@Override  </li>
<li>public void doFilter(ServletRequest request,   </li>
<li class="alt">                     ServletResponse response,   </li>
<li>                     FilterChain chain) throws IOException, ServletException {   </li>
<li class="alt">    HttpServletRequest req = (HttpServletRequest) request;   </li>
<li>    chain.doFilter(new <span style="color: #000000;">XssRequestWrapper(req), response);   </li>
<li class="alt">}  </li>
</ol>
</div>
</div>
在web.xml中配置指定请求进行过滤，可以有效防止xss攻击，希望本文所述对大家熟练掌握防止xss攻击的方法有所帮助。

頁: [1]

琼殿技术论坛's Archiver

防止xss攻击的有效方法