xss跨站脚本攻击如何修复 如何防止xss跨站脚本攻击

主机教程 建站分享 2年前 (2022-10-07) 263次浏览

文章摘要:xss跨站脚本攻击如何修复 如何防止xss跨站脚本攻击

xss跨站脚本攻击的解决方案: 1.建立一个HttpServletRequestWapper的包装类,对用户发 […]

xss跨站脚本攻击的解决方案:

1.建立一个HttpServletRequestWapper的包装类,对用户发送的请求进行包装,把request中包含XSS代码进行过滤,代码如下:

import java.util.Map;

import javax.servlet.http.HttpServletRequest;  

import javax.servlet.http.HttpServletRequestWrapper;  

public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {  

    HttpServletRequest orgRequest = null;  

    public XssHttpServletRequestWrapper(HttpServletRequest request) {  

        super(request);

    }  

    /** 

     * 覆盖getParameter方法,将参数名和参数值都做xss过滤。

     * 如果需要获得原始的值,则通过super.getParameterValues(name)来获取

     * getParameterNames,getParameterValues和getParameterMap也可能需要覆盖 

     */  

    @Override  

    public String getParameter(String name) {  

        String value = super.getParameter(xssEncode(name));  

        if (value != null) {  

            value = xssEncode(value);  

        }  

        return value;  

    }

    @Override

    public String[] getParameterValues(String name) {

        String[] value = super.getParameterValues(name);

        if(value != null){

            for (int i = 0; i < value.length; i++) {

                value[i] = xssEncode(value[i]);

            }

        }

        return value;

    }

    @Override

    public Map getParameterMap() {

        // TODO Auto-generated method stub

        return super.getParameterMap();

    }

    /** 

     * 覆盖getHeader方法,将参数名和参数值都做xss过滤。

     * 如果需要获得原始的值,则通过super.getHeaders(name)来获取 

     * getHeaderNames 也可能需要覆盖

     * 这一段代码在一开始没有注释掉导致出现406错误,原因是406错误是HTTP协议状态码的一种,

     * 表示无法使用请求的内容特性来响应请求的网页。一般是指客户端浏览器不接受所请求页面的 MIME 类型。 

     *  

    @Override  

    public String getHeader(String name) {  

        String value = super.getHeader(xssEncode(name));  

        if (value != null) {  

            value = xssEncode(value);  

        }  

        return value;  

    }  

    **/

    /** 

     * 将容易引起xss漏洞的半角字符直接替换成全角字符 在保证不删除数据的情况下保存

     * @param s 

     * @return 过滤后的值

     */  

    private static String xssEncode(String value) {  

         if (value == null || value.isEmpty()) {  

            return value;  

        }  

        value = value.replaceAll("eval\((.*)\)", "");

        value = value.replaceAll("[\"\'][\s]*javascript:(.*)[\"\']", """");

        value = value.replaceAll("(?i)<script.*?>.*?<script.*?>", "");

        value = value.replaceAll("(?i)<script.*?>.*?</script.*?>", "");

        value = value.replaceAll("(?i)<.*?javascript:.*?>.*?</.*?>", "");

        value = value.replaceAll("(?i)<.*?\s+on.*?>.*?</.*?>", "");

        return value;

    }  

}

2.使用Filter过滤器实现对Request的过滤,代码如下:

import java.io.IOException;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.http.HttpServletRequest;

import com.lyms.wxyl.base.wrapper.XssHttpServletRequestWrapper;

public class XssFilter implements Filter {

    public void destroy() {

        // TODO Auto-generated method stub

    }

    /**

     * 过滤器用来过滤的方法

     */

    public void doFilter(ServletRequest request, ServletResponse response,FilterChain chain) throws IOException, ServletException {

        //包装request

        XssHttpServletRequestWrapper xssRequest = new XssHttpServletRequestWrapper((HttpServletRequest) request);

        chain.doFilter(xssRequest, response);

    }

    public void init(FilterConfig filterConfig) throws ServletException {

        // TODO Auto-generated method stub

    }

}

3.在Web.xml中定义好Filter,例如:

<filter>

        <filter-name>XssFilter</filter-name>

        <filter-class>包名.XssFilter</filter-class>

    </filter>

    <filter-mapping>

        <filter-name>XssFilter</filter-name>

        <url-pattern>/*</url-pattern>

    </filter-mapping>

4.Filter类需要引入javax.servlet.api的jar包,因此要在pom.xml配置jar包,代码:

<dependency>

            <groupId>javax.servlet</groupId>

            <artifactId>servlet-api</artifactId>

            <version>${servlet.version}</version>

            <scope>provided</scope>

         </dependency>

         <dependency>

            <groupId>javax.servlet</groupId>

            <artifactId>jsp-api</artifactId>

            <version>2.0</version>

            <scope>provided</scope>

         </dependency>

         <properties>

           <servlet.version>3.0-alpha-1</servlet.version>

         </properties>


声明:
若非注明,本站文章源于互联网收集整理和网友分享发布,如有侵权,请联系站长处理。
文章名称:xss跨站脚本攻击如何修复 如何防止xss跨站脚本攻击
文章链接:http://www.7966.org/post/15914.html
转载请注明出处

喜欢 (0)