慎防国际化中的language参数XSS注入

最新推荐文章于 2022-01-28 02:38:10 发布

宋玮-深圳

最新推荐文章于 2022-01-28 02:38:10 发布

阅读量127

点赞数

分类专栏：随笔文章标签： GWT XML HTML XHTML

本文链接：https://blog.csdn.net/d8111/article/details/83679400

版权

随笔专栏收录该内容

12 篇文章 0 订阅

订阅专栏

最近使用的xwiki又被安全中心眷顾了，扫描到一个新的xss漏洞。由于xwiki是一个国外的开源论坛，做过国际化处理,支持多语言，于是在页面上存在一些这样的代码：

<html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en">

<meta http-equiv="Content-Type" content="text/html; charset=ISO-8859-1" />
<meta name="gwt:property" content="locale=en" />

注意这些编码串，全部是动态获取的，代码如下：

<meta name="gwt:property" content="locale=$!{context.language}"

于是，邪恶就诞生了！

?language="></script><script>alert()</script>&viewer=changes

这段注入代码去http://platform.xwiki.org/xwiki/bin/view/DevGuide/DataModel?language="></script><script>alert()</script> 尝试过，该网站有做过处理，攻击不会成功。

但是自己下载的xwiki使用就要注意了，上面提到的动态取context.language则一定会被注入到很惨！特别是

/xwiki/templates/htmlheader.vm 这个公用的页头。

目前我的解决方案是，用xwiki提供的模板函数replaceAll来过滤特殊字符。<>/

<meta name="gwt:property" content="$!context.language.replaceAll("<", "&lt;").replaceAll(">", "&gt;").replaceAll("/", " ")" />

下面也顺带把各种过滤条件都列出来，方便后期当手册翻阅：

html元素过滤字符集合

ignoreHtmlElementsTable.put('<', "&lt;");
ignoreHtmlElementsTable.put('>', "&gt;");
ignoreHtmlElementsTable.put('\'', "&#39;");
ignoreHtmlElementsTable.put('\"', "&quot;");
ignoreHtmlElementsTable.put('&', "&amp;");

html属性过滤字符集合

ignoreHtmlAttributesTable.put('=', "&#61;");
ignoreHtmlAttributesTable.put('`', "&#96;");

xml元素、属性过滤字符集合

ignoreXmlElementsTable.put('\'', "&apos;");

宋玮-深圳

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
慎防国际化中的language参数XSS注入

最近使用的xwiki又被安全中心眷顾了，扫描到一个新的xss漏洞。由于xwiki是一个国外的开源论坛，做过国际化处理,支持多语言，于是在页面上存在一些这样的代码： &lt;html xmlns="http://www.w3.org/1999/xhtml" lang="en" xml:lang="en"&gt;&lt;meta http-equiv="Content-Type" ...
复制链接

扫一扫