XSS漏洞解决方案

最新推荐文章于 2024-09-11 17:18:49 发布
最新推荐文章于 2024-09-11 17:18:49 发布
阅读量2.5k 收藏 12
点赞数 1
分类专栏： 数据安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_40277684/article/details/102707407
版权

XSS漏洞主要从请求和响应内容两个方面防护。

配置过滤器

一：web.xml文件

<!-- 解决xss漏洞 -->  
  <filter>  
    <filter-name>xssFilter</filter-name>  
     <filter-class>com.common.filter.XSSFilter</filter-class>  
  </filter>  
  
  <!-- 解决xss漏洞 -->  
  <filter-mapping>  
    <filter-name>xssFilter</filter-name>  
    <url-pattern>/*</url-pattern>  
  </filter-mapping>
二：过滤器:XSSFilter.java

import org.springframework.stereotype.Service;
import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.annotation.WebFilter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

@WebFilter(filterName = "XssFilter", urlPatterns = {"/*"})
@Service
public class XssFilter implements Filter {

    public void init(FilterConfig config) throws ServletException {
    }

    public void doFilter(ServletRequest request, ServletResponse response,
                         FilterChain chain) throws IOException, ServletException {
        XssHttpServletRequestWrapper xssRequest = new XssHttpServletRequestWrapper((HttpServletRequest) request);
        chain.doFilter(xssRequest, response);
    }

    public void destroy() {
    }

}
三：XssHttpServletRequestWrapper 解决XSS漏洞

import javax.servlet.http.*;
import java.util.regex.Pattern;


public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper  {

    public XssHttpServletRequestWrapper(HttpServletRequest request) {
        super(request);
    }

    /**
     * 对数组参数进行特殊字符过滤
     */
    @Override
    public String[] getParameterValues(String name) {
        String[] values = super.getParameterValues(name);
        if (values == null) {
            return null;
        }
        int count = values.length;
        String[] encodedValues = new String[count];
        for (int i = 0; i < count; i++) {
            encodedValues[i] = cleanXSS(values[i]);
        }
        return encodedValues;
    }

    /**
     * 对参数中特殊字符进行过滤
     */
    @Override
    public String getParameter(String name) {
        String value = super.getParameter(name);
        if (value == null) {
            return null;
        }
        return cleanXSS(value);
    }

    /**
     * 获取attribute,特殊字符过滤
     */
    @Override
    public Object getAttribute(String name) {
        Object value = super.getAttribute(name);
        if (value != null && value instanceof String) {
            cleanXSS((String) value);
        }
        return value;
    }

    /**
     * 对请求头部进行特殊字符过滤
     */
    @Override
    public String getHeader(String name) {
        String value = super.getHeader(name);
        if (value == null) {
            return null;
        }
        return cleanXSS(value);
    }

    /**
     * 转义字符,使用该方法存在一定的弊端
     *
     * @param value
     * @return
     */
    private String cleanXSS2(String value) {
        // 移除特殊标签
        value = value.replaceAll("<", "&lt;").replaceAll(">", "&gt;");
        value = value.replaceAll("\\(", "&#40;").replaceAll("\\)", "&#41;");
        value = value.replaceAll("'", "&#39;");
        value = value.replaceAll("eval\\((.*)\\)", "");
        value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");
        value = value.replaceAll("script", "");
        return value;
    }

    private String cleanXSS(String value) {
        if (value != null) {
            //推荐使用ESAPI库来避免脚本攻击,value = ESAPI.encoder().canonicalize(value);
            // 避免空字符串
            value = value.replaceAll(" ", "");
            // 避免script 标签
            Pattern scriptPattern = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免src形式的表达式
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 删除单个的 </script> 标签
            scriptPattern = Pattern.compile("</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 删除单个的<script ...> 标签
            scriptPattern = Pattern.compile("<script(.*?)>",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 eval(...) 形式表达式
            scriptPattern = Pattern.compile("eval\\((.*?)\\)",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 e­xpression(...) 表达式
            scriptPattern = Pattern.compile("e­xpression\\((.*?)\\)",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 javascript: 表达式
            scriptPattern = Pattern.compile("javascript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 vbscript:表达式
            scriptPattern = Pattern.compile("vbscript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 οnlοad= 表达式
            scriptPattern = Pattern.compile("onload(.*?)=",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
        }
        return cleanXSS2(value);
    }
}

转义数据库数据



import java.util.regex.Pattern;

public class CleanXss {


    /**
     * 转义字符,使用该方法存在一定的弊端
     *
     * @param value
     * @return
     */
    public static String cleanXSS2(String value) {
        // 移除特殊标签
        value = value.replaceAll("<", "&lt;").replaceAll(">", "&gt;");
        value = value.replaceAll("\\(", "&#40;").replaceAll("\\)", "&#41;");
        value = value.replaceAll("'", "&#39;");
        value = value.replaceAll("eval\\((.*)\\)", "");
        value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");
        value = value.replaceAll("script", "");
        return value;
    }

    public static String cleanXSS(String value) {
        if (value != null) {
            //推荐使用ESAPI库来避免脚本攻击,value = ESAPI.encoder().canonicalize(value);

            // 避免script 标签
            Pattern scriptPattern = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免src形式的表达式
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 删除单个的 </script> 标签
            scriptPattern = Pattern.compile("</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 删除单个的<script ...> 标签
            scriptPattern = Pattern.compile("<script(.*?)>",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 删除单个的alert(...) 标签
            scriptPattern = Pattern.compile("alert(.*?)",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 删除单个的<script ...> 标签
            scriptPattern = Pattern.compile("<img(.*?)>",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 eval(...) 形式表达式
            scriptPattern = Pattern.compile("eval\\((.*?)\\)",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 e­xpression(...) 表达式
            scriptPattern = Pattern.compile("e­xpression\\((.*?)\\)",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 javascript: 表达式
            scriptPattern = Pattern.compile("javascript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 vbscript:表达式
            scriptPattern = Pattern.compile("vbscript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 避免 οnlοad= 表达式
            scriptPattern = Pattern.compile("onload(.*?)=",
                    Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
        }
        return cleanXSS2(value);
    }
}
小明同学——
关注
专栏目录
XSS(跨站脚本攻击)漏洞解决方案
菜鸟
07-11 3万+
昨天师傅通知我，上周提交的代码中发现了XSS漏洞，让我解决一下，作为小白鼠的我还是硬着头皮寻东问西的找人找解决方案，最终在公司两位前辈的指导下重写了代码解决了这个漏洞。现汇总如下： 首先，简单介绍一下XSS定义： 一 、 XSS介绍 XSS是跨站脚本攻击（Cross Site Scripting）的缩写。为了和层叠样式表CSS（Cascading Style Sheets)加以区分，因此将跨
php xss漏洞解决方案,解析检查 —— 存储型XSS漏洞解决方案
weixin_39917291的博客
04-04 672
TSRC编者按：Web2.0时代，XSS漏洞不容小觑。特别是在UGC业务，支持“安全的”HTML是业务必须的特性，这就对UGC安全过滤器要求特别高，稍有不慎就会出现存储XSS漏洞。腾讯安全中心从2007年就面向内部UGC业务推出“安全API”项目用于解决这类场景，原理是对用户提交内容进行预解析，过滤掉产生安全问题的语句。大马胖子在这方面经验丰富，大家可以看看这块是如何实现的。也欢迎实测demo，发...
XSS漏洞解决方案实例
08-30
跨网站脚本（Cross-site scripting，通常简称为XSS或跨站脚本或跨站脚本攻击）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。
发现 XSS 漏洞？别急，用这招 SpringBoot 技巧轻松搞定！
最新发布
方志朋的博客
09-11 229
引言随着Web应用的普及，网络安全问题也日益凸显。跨站脚本攻击（Cross-Site Scripting，简称XSS）是一种常见的Web安全漏洞，它允许攻击者将恶意脚本注入到其他用户浏览和使用的正常网页中。当其他用户浏览这些网页时，恶意脚本就会在他们的浏览器上执行，从而可能导致信息泄露、会话劫持等严重后果。XSS攻击的普遍性和潜在危害性使其成为Web应用安全中不可忽视的一部分。本文旨在探讨如何在S...
XSS 安全漏洞介绍及修复方案
墨鸦的博客
06-25 8098
XSS 安全漏洞介绍及修复方案
XSS漏洞攻击原理与解决办法
weixin_34343000的博客
07-27 576
转自：http://www.frostsky.com/2011/10/xss-hack/ 对于的用户输入中出现XSS漏洞的问题，主要是由于开发人员对XSS了解不足，安全的意识不够造成的。现在让我们来普及一下XSS的一些常识，以后在开发的时候，每当有用户输入的内容时，都要加倍小心。请记住两条原则：过滤输入和转义输出。 一、什么是XSS XSS又叫CSS (Cross Site Script) ...
xss漏洞原因以及如何应对
风烟
01-26 9385
场景一：获取URL参数含有脚本执行 比如我们需要获取URL中某个参数，然后输出到页面当中 比如链接是http://xxx?search="><script>alert('xss')</script>这种，我们解析search参数拼接html的之后直接用了这个参数，这个时候浏览器不知道是恶意代码，直接就执行了， <div> xxx: "><script>alert('xss')</script> </div> 这
XSS 存储漏洞解决
qq_33391644的博客
07-21 1414
XSS漏洞修复 网上方案不得不妨看一下，网上方案优化之后的代码
奇安信安全扫描漏洞解决路径遍历和存储型xss和反射xss攻击漏洞
11-09
亲测可用，中级漏洞，解决服务器段请求伪造 final String forURL = ESAPI.encoder().encodeForURL(url); restTemplate.exchange(forURL, HttpMethod.GET,new HttpEntity<String>(headers), List.class, params);
XSS漏洞解决方案之一 过滤器
qq_44945073的博客
04-20 475
XSS漏洞解决方案之一 过滤器
xss漏洞攻防
mackilo的博客
12-20 9356
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。xss是一种发生在web前端的漏洞，所以其危害的对象也主要是前端用户在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高警惕。
SQL+XSS漏洞修复方案
04-13
近期公司的项目遭受了SQL+XSS攻击（市面上现在检测工具很多如：AWVS/360等），现贴出项目中的修复核心代码，需要的可以参考一下
javaweb配置xssproject，完美解决安全检测报XSS漏洞
01-14
java配置xssproject，文件包括配置步骤，需要的jar包，完整的xssproject类，并且提供的类解决了multipart/form-data类型的Request请求xss过滤问题
XSS安全漏洞修复解决方案
hold on the last
06-18 2万+
背景：等保测评公司针对我系统进行了一次渗透测试，并发现存在XSS漏洞，现记录修复过程。 框架：SSM。 全站XSS： 漏洞风险等级：中危 涉及页面：全站存在内容输入处 漏洞描述：所有模块可以修改内容处存在XSS，填入恶意代码后触发。 修复建议：过滤所有输入内容。（防止恶意弹窗/跨站脚本/过滤敏感字符/违法信息等） 解决方案 列举方案1：写个DispatcherServ...
XSS防注入相关的解决方案web xss攻击 漏洞
宇飞林海的博客
05-26 4437
一、什么是 XSS ？ XSS (Cross Site Scripting)，即跨站脚本攻击，是一种常见于 Web 应用中的计算机安全漏洞。恶意攻击者往 Web 页面里嵌入恶意的客户端脚本，当用户浏览此网页时，脚本就会在用户的浏览器上执行，进而达到攻击者的目的。比如获取用户的 Cookie、导航到恶意网站、携带木马等。借助安全圈里面非常有名的一句话： 所有的输入都是有害的。 这句话把 XSS 漏洞的本质体现的淋漓尽致。大部分的 XSS 漏洞都是由于没有处理好用户的输入，导致恶意脚本在浏览器中执行。
XSS注入漏洞解决方法(高风险)
weixin_43922510的博客
08-15 1万+
漏洞描述 攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。 漏洞验证 通过在页面中的留言板，提交框，录入信息框等能够提交参数的地方，尝试注入相关xss代码测试，能够成功执行对应代码功能则存在问题，可能造成流量劫持，篡改、删除页面信息，获取用户cookie信息，盗取账号等不良影响。 修复建议 过滤输入的数...
xss攻击原理与解决方法
热门推荐
套路猿的博客
04-14 7万+
概述XSS攻击是Web攻击中最常见的攻击方法之一，它是通过对网页注入可执行代码且成功地被浏览器执行，达到攻击的目的，形成了一次有效XSS攻击，一旦攻击成功，它可以获取用户的联系人列表，然后向联系人发送虚假诈骗信息，可以删除用户的日志等等，有时候还和其他攻击方式同时实施比如SQL注入攻击服务器和数据库、Click劫持、相对链接劫持等实施钓鱼，它带来的危害是巨大的，是web安全的头号大敌。攻击的条件实施
XSS漏洞与SQL注入漏洞解决方案
u013755149的博客
08-04 4844
XSS 跨站脚本攻击 SQL注入 过滤器
WEB安全之XSS漏洞与SQL注入漏洞介绍及解决方案
m0_74131821的博客
04-18 1824
这篇文章把XSS跨站攻击和SQL注入的相关知识整理了下，比较适合初学者观看。
"百度高级安全工程师分享XSS解决方案ppt
百度内部通用XSS攻击解决方案探讨培训ppt 随着互联网的快速发展和普及，网络安全问题日益突出。由于网站和应用程序的设计漏洞，XSS（Cross-Site Scripting）攻击成为一种常见的网络安全威胁。为了应对XSS攻击，百度...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值