【漏洞学习】DVP-2018-01393（聊天室XSS漏洞）

漏洞URL：http://new.funcoin.co/

测试账号：1***************m

密码：t********6

漏洞说明：

登陆测试账号后，点击聊天室：

在聊天室中输入xss payload

刷新一下页面后，移动鼠标到M弹出

漏洞证明：

漏洞利用代码：

 <a onmouseover=alert(7)>M

修复方案：

1：引入全局过滤器对所有的输入内容进行过滤，对页面out.println输出的内容进行htmlencoding编码处理。对变量中包括的“>”、“<”“'”、“=”、“#”、“)”、“(”和“"”字符进行HTML转义，转码如下： & –>    &amp;
< –>    &lt;
>    –>    &gt;
“     –>    &quot;
‘     –>    &#x27;
/     –>    &#x2F;
# –> &#35;
(     –>    &#40;
)     –>     &#41;
2：引入第三方安全控制组件：ESAPI，使用输出编码对所有的输出内容进行编码。考虑到以下场景：
当输出内容位于html标签时：
使用ESAPI.encoder().encodeForHTML( request.getParameter( "input" ) );对输入内容进行转码。
当输出内容位于<script></script>之间时：
使用javascript中的encode函数对输出进行编码。
项目官网：https://www.owasp.org/index.php/ESAPI#tab=Downloads
项目java版github地址：https://github.com/ESAPI/esapi-java
3：在不影响应用的前提下，建议将cookie标记为httpOnly，同时禁用TRACE方法。