Struts 2 防御存储型XSS攻击

最新推荐文章于 2024-09-07 20:58:17 发布
最新推荐文章于 2024-09-07 20:58:17 发布
阅读量476 收藏 1
点赞数
分类专栏： 后端问题整理 文章标签： struts xss java
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qazzwx/article/details/134266176
版权
本文介绍了如何在Struts框架中通过创建自定义拦截器来防止XSS攻击，包括XSSInterceptor类的实现和在struts.xml配置文件中的应用，以及注意事项。
摘要由CSDN通过智能技术生成

在Struts中拦截XSS攻击可以通过配置拦截器来实现。以下是一个示例代码来演示如何在Struts中拦截XSS攻击：

创建XSS拦截器类

  1. 创建一个XSS拦截器类，实现com.opensymphony.xwork2.interceptor.Interceptor接口。 
    import com.hoau.hbdp.framework.define.Protocol;
import com.hoau.hbdp.framework.server.context.AppContext;
import com.hoau.hbdp.framework.server.web.interceptor.AbstractInterceptor;
import com.hoau.hbdp.framework.server.web.result.json.JSONPopulator;
import com.hoau.hbdp.framework.server.web.result.json.annotation.JSON;
import com.hoau.hbdp.framework.server.web.xss.ParametersValidatorException;
import com.opensymphony.xwork2.ActionInvocation;
import org.apache.commons.logging.Log;
import org.apache.commons.logging.LogFactory;
import org.apache.struts2.ServletActionContext;
import org.codehaus.jackson.map.ObjectMapper;
import org.springframework.core.annotation.AnnotationUtils;
import org.springframework.util.ReflectionUtils;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.BufferedReader;
import java.lang.reflect.Method;
import java.util.Map;
import java.util.regex.Pattern;

/**
 * @author 
 * @desc 防存储箱Xss攻击
 * @date 2023/11/06 10:43
 **/
public class XssInterceptor extends AbstractInterceptor {

    private static final long serialVersionUID = -3423290391156261612L;

    private final Log log = LogFactory.getLog(getClass());

    /**
     * 序列化及缓存类
     */
    private static final ObjectMapper MAPPER = new ObjectMapper();


    /**
     * JSON格式反序列化并绑定到Action中的属性上
     *
     * @param invocation
     * @return
     * @throws Exception
     * @since:
     * @see com.opensymphony.xwork2.interceptor.AbstractInterceptor#intercept(ActionInvocation)
     * intercept
     */
    @Override
    public String intercept(ActionInvocation invocation) throws Exception {
        HttpServletRequest request = ServletActionContext.getRequest();
        HttpServletResponse response = ServletActionContext.getResponse();
        String contentType = request.getHeader("content-type");
        if (contentType != null) {
            int iSemicolonIdx = contentType.indexOf(';');
            if (iSemicolonIdx != -1) {
                contentType = contentType.substring(0, iSemicolonIdx);
            }
        }

        Object rootObject = invocation.getAction();

        Class<?> clazz = invocation.getAction().getClass();
        String methodName = invocation.getProxy().getMethod();
        Method method = ReflectionUtils.findMethod(clazz, methodName);
        //如果在Action方法上加入JSON的注解，那么就可以在应用这个方法的时候，把错误的结果信息转换为json
        if (Protocol.JSON_CONTENT_TYPE.equalsIgnoreCase(contentType) || AnnotationUtils.isAnnotationDeclaredLocally(JSON.class, clazz)
                || (method != null && method.isAnnotationPresent(JSON.class))) {
            BufferedReader reader = request.getReader();
            int bytesRead;
            StringBuilder stringBuilder = new StringBuilder();
            char[] charBuffer = new char[2048];
            while ((bytesRead = reader.read(charBuffer)) > 0) {
                stringBuilder.append(charBuffer, 0, bytesRead);
            }
            if (stringBuilder.toString().length() > 0) {
                //过滤参数
                try {
                    String valuestr = AppContext.getParametersValidator().doValidator(stringBuilder.toString(), response);
                    valuestr = stripXSS(valuestr);
                    @SuppressWarnings("rawtypes")
                    Map json = MAPPER.readValue(valuestr, Map.class);
                    JSONPopulator.populateObject(rootObject, json);
                } catch (ParametersValidatorException e) {
                    return "success";
                }
            }
        } else {
            if (log.isDebugEnabled()) {
                log.debug("Content type must be 'application/json' or 'application/json-rpc'. Ignoring request with content type "
                        + contentType);
            }
        }
        return invocation.invoke();
    }

    private String stripXSS(String value) {
        if (value != null) {
            value = value.replaceAll("", "");
            Pattern scriptPattern = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");

            // Avoid anything in a src='...' type of expression
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            // Remove any lonesome </script> tag
            scriptPattern = Pattern.compile("</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");

            // Remove any lonesome <script ...> tag
            scriptPattern = Pattern.compile("<script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            // Avoid eval(...) expressions
            scriptPattern = Pattern.compile("eval\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            // Avoid expression(...) expressions
            scriptPattern = Pattern.compile("expression\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            // Avoid javascript:... expressions
            scriptPattern = Pattern.compile("javascript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");

            // Avoid vbscript:... expressions
            scriptPattern = Pattern.compile("vbscript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");

            // Avoid onload= expressions
            scriptPattern = Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            scriptPattern = Pattern.compile("onerror(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");

            value = value.replaceAll(">", "〉").replaceAll("<", "〈");
        }
        return value;
    }

    @Override
    public void init() {
        super.init();
    }

}

    在上述代码中，我们使用AbstractInterceptor作为基类，实现了intercept方法，该方法会在请求被处理之前拦截并进行XSS过滤。我们获取请求的参数，并对每个参数的值进行sanitize方法的调用，该方法用于执行XSS过滤逻辑。

配置文件

在Struts的配置文件（如struts.xml）中配置拦截器。

<?xml version="1.0" encoding="UTF-8" ?>
<!DOCTYPE struts PUBLIC
    "-//Apache Software Foundation//DTD Struts Configuration 2.0//EN"
    "http://struts.apache.org/dtds/struts-2.0.dtd">
<struts>

<package name="struts-default" extends="framework-default">
<interceptors>
<interceptor name="json" class="com.example.framework.server.web.interceptor.JSONInterceptor"/>
    <interceptor name="xssInterceptor" class="com.example.XSSInterceptor" />
    <interceptor-stack name="xssInterceptorStack">
        <interceptor-ref name="xssInterceptor" />
        <interceptor-ref name="json" />
    </interceptor-stack>
</interceptors>

</package>

</struts>

注意点

在 struts.xml中  <interceptor-ref name="xssInterceptor" /> 前面不能配置拦截参数，不然就会一直获取不到参数，如我之前 <interceptor-ref name="json" /> 在前面导致一直XSSInterceptor拦截器中一直获取不到参数

codesWang
关注
专栏目录
XSS转码 && struts2 property标签的bug
03-21
NULL 博文链接：https://sw1982.iteye.com/blog/975340
XSS、CSRF、SSRF漏洞原理以及防御方式
Love_Naive的博客
09-03 5463
这里写目录标题XSSXSS攻击原理：XSS的防范措施主要有三个：编码、过滤、校正CSRFCSRF攻击攻击原理及过程如下：CSRF攻击的防范措施：SSRFSSRF漏洞攻击原理以及方式SSRF漏洞攻击的防范措施XMLXSS、CSRF、SSRF的区别XSS、CSRF的区别 XSS XSS（Cross Site Scripting）：跨域脚本攻击。 XSS攻击原理： 不需要你做任何的登录认证，它会通过合法的操作（比如在url中输入、在评论框中输入），向你的页面注入脚本（可能是js、hmtl代码块等）。 X
Web安全之XSS跨站脚本攻击：如何预防及解决
最新发布
J老熊
09-07 1815
XSS（跨站脚本攻击，Cross-Site Scripting）是一种常见的Web安全漏洞，通过注入恶意代码（通常是JavaScript）到目标网站的网页中，以此在用户浏览网页时执行。攻击者可以通过XSS获取用户的敏感信息（如Cookie、会话令牌）或控制用户浏览器的行为，进而造成信息泄露、身份冒用等严重后果。XSS是Web应用中最常见的安全漏洞之一，通过合理的输入过滤、输出转义以及CSP等防护手段，可以有效防御此类攻击。
struts2 拦截器修改request的parameters参数失败的问题
huplion的专栏
10-09 3393
为了解决struts2的xss（跨站脚本攻击）问题，我打算用struts2自带的拦截器来过滤所有由request传递来的参数。 <?xml version="1.0" encoding="UTF-8" ?> <!DOCTYPE struts PUBLIC "-//Apache Software Foundation//DTD Struts Configuration 2.1//EN" "htt
java struts2防止xss_拦截过滤防御XSS攻击 -- Struts2.3 以及 2.5 的解决方式
weixin_34481252的博客
02-13 711
使用Struts2框架开发的后台在防御XSS攻击的时候很多方式都不能用，因为Struts2对请求进行的二次封装有区别。以下针对Struts2的XSS攻击进行拦截过滤防御解决：Struts2.3本方案采用struts2的拦截器过滤，将提交上来的参数转码来解决。配置struts.xml：...此处省略n个actionJava代码,拦截器实现类：importjava.util.Map;importorg...
struts2如何防止XSS脚本攻击（XSS防跨站脚本攻击过滤器）
qq_37996327的博客
07-10 566
struts2如何防止XSS脚本攻击（XSS防跨站脚本攻击过滤器）
struts2 预防xss攻击
weixin_42070436的博客
09-19 2588
struts2 预防xss攻击什么是XSS攻击举个例子代码 最近接触了一个比较老的项目用的ssh框架 甲方测试提出了这个xss漏洞 什么是XSS攻击 XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种...
java struts2防止xss_GitHub - Xiang-do/Struts-S2-xxx: 整理收集Struts2漏洞环境
weixin_33978451的博客
02-16 996
Struts-S2-xxxStruts 漏洞2017年Struts被爆出的漏洞比以往多了很多，抽时间整理一下其中的环境以及POC和漏洞分析，学习一下其中的漏洞原理和分析，防御，以后如果再次爆发这样漏洞的时候，也能够自己试着分析一下，不用再去傻傻的等着了。S2-001 利用表单错误进行远程代码利用S2-002 标签 和 XSS漏洞S2-003 XWork ParameterInterceptors...
Struts2 Xss 攻击预防的处理
hello world！
12-15 2899
摘要： 关于XSS问题的处理，此前在博客 http://blog.csdn.net/catoop/article/details/50338259 中写过处理方法。刚好最近朋友有问到“在Struts2中按文章中那样处理无效”，后来验证了下发现，Struts2 对请求的二次封装有所不同，于是针对Struts. 关于XSS问题的处理，此前在博客 http://blog.csdn.net/ca
struts2拦截器添加及xss攻击的处理
彬哥哥的博客
06-21 5388
struts2拦截器添加及xss攻击的处理
JSP Struts过滤xss攻击的解决办法
10-19
攻击方式包括存储型XSS、反射型XSS和DOM型XSS，其中存储型和反射型XSS主要涉及服务器端的数据处理，而DOM型XSS则发生在客户端。 **2. Struts2拦截器** Struts2框架中的拦截器（Interceptor）是一种强大的中间件机制...
struts2通过过滤器拦截其漏洞配置方法
07-01
通过web配置拦截器进行struts2漏洞拦截源码及配置
防sql注入和xss攻击， springmv拦截器
07-24
防sql注入和xss攻击， springmv拦截器，可自由调整需要拦截的字符
Struts2.3 以及 2.5 过滤 xss攻击 的一种解决方案
热门推荐
huplion的专栏
10-09 1万+
本方案采用struts2的拦截器过滤，将提交上来的参数转码来解决。 配置struts.xml<package name="default" namespace="/" extends="struts-default, json-default"> <!-- 配置拦截器 --> <interceptors> <!-- 定义xss
Struts中的跨站脚本攻击防御
存储型XSS攻击是将恶意脚本存储到服务器中的数据库或文件中，然后被用户访问时执行。反射型XSS攻击则是将恶意脚本作为参数或路径等数据，被服务器直接返回给用户并执行。DOM型XSS攻击是通过操作DOM文档对象模型来...
【网络安全】XSS之HTTP Only
等风来
05-29 689
HTTP Only 是一个用于设置 HTTP Cookie 的属性，它可以防止通过 JavaScript 访问该 Cookie。当将 Cookie 标记为 HTTP Only 后，浏览器将只允许在 HTTP 请求中发送该 Cookie，而禁止在客户端的 JavaScript 中进行访问。
SpringBoot实现xss拦截器
初学者乐园的博客
03-10 2357
SpringBoot实现xss拦截器代码demo: @Component(&quot;xssInterceptor&quot;) public class XssInterceptor extends HandlerInterceptorAdapter{ @Override public boolean preHandle(HttpServletRequest request, HttpSer...
java struts2 xss_Apache Struts2提供的最新demo中几处XSS(不严谨啊!不严谨啊!)
weixin_39640883的博客
03-04 83
漏洞概要缺陷编号：WooYun-2013-036691漏洞标题：Apache Struts2提供的最新demo中几处XSS(不严谨啊!不严谨啊!)相关厂商：apache漏洞作者：Nebula提交时间：2013-09-10 17:55公开时间：2013-10-25 17:56漏洞类型：XSS 跨站脚本攻击危害等级：低自评Rank：1漏洞状态：未联系到厂商或者厂商积极忽略Tags标签：漏洞详情披露状态...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值