最近,有个项目突然接到总部的安全漏洞报告,查看后知道是XSS攻击。
问题描述:
在页面上有个隐藏域:
XML/HTML Code复制内容到剪贴板
当前页面提交到Controller时,未对action属性做任何处理,直接又回传到页面上
如果此时action被用户恶意修改为:***""***
此时当页面刷新时将执行alert(1),虽然错误不严重,但是任何安全隐患都应受到重视。
解决思路:
该问题是由于对用户输入数据(隐藏域)未做任何处理,导致非法数据被执行,那么解决该问题的核心思路就是对用户数据做严格处理,对任何页面传递的数据都不应过分信任,处理方法如下:
1.在页面上对action参数做转义处理,${action?html}(前端技术采用freemarker),但是此种方法只能对单个属性有效,如果此时项目处于维护期且有大量此种问题,修复的难度较大且不便于统一维护
2.在服务端对用户数据做转义处理,此时需要创建一个filter,对request进行二次封装,核心代码如下:
Java Code复制内容到剪贴板
importjavax.servlet.http.HttpServletRequest;
importjavax.servlet.http.HttpServletRequestWrapper;
importorg.apache.commons.lang3.StringEscapeUtils;
publicclassXssRequestWrapperextendsHttpServletRequestWrapper {
publicXssRequestWrapper(HttpServletRequest request) {
super(request);
}
publicString getParameter(String name) {
String value =super.getParameter(name);
if(value ==null) {
returnnull;
}
returnStringEscapeUtils.escapeHtml4(value);
}
publicString[] getParameterValues(String name) {
String[] values =super.getParameterValues(name);
if(values ==null) {
returnnull;
}
String[] newValues =newString[values.length];
for(inti =0; i
newValues[i] = StringEscapeUtils.escapeHtml4(values[i]);
}
returnnewValues;
}
}
XssRequestWrapper是对request进行的二次封装,最核心的作用是对request中的参数进行转义处理(需要用到commons-lang3.jar)
定义filter,核心的代码如下:
Java Code复制内容到剪贴板
@Override
publicvoiddoFilter(ServletRequest request,
ServletResponse response,
FilterChain chain)throwsIOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
chain.doFilter(newXssRequestWrapper(req), response);
}
在web.xml中配置指定请求进行过滤,可以有效防止xss攻击,希望本文所述对大家熟练掌握防止xss攻击的方法有所帮助。