Web安全头号大敌XSS漏洞解决最佳实践

Posted 2022-01-27 IT技术小咖

tags:

篇首语：本文由小常识网(cha138.com)小编为大家整理，主要介绍了Web安全头号大敌XSS漏洞解决最佳实践相关的知识，希望对你有一定的参考价值。

XSS

代码攻击及危害分析

——> <script

快速创建 springboot 应用：

     <groupId>org.owasp.antisamy</groupId>
     <artifactId>antisamy</artifactId>
     <version>1.5.7</version>
* @program: xss-demo* @author: Mr.Zhang* @create: 2021-02-21 15:45**/ @Override

   public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException

HttpServletRequest httpServletRequest = (HttpServletRequest) request; HttpServletRequest req = (HttpServletRequest) request; String path = req.getServletPath();

       //注解配置的是urlPatterns="/*"(过滤所有请求),所以这里对不需要过滤的静态资源url,作忽略处理(大家可以依照具体需求配置)

String[] exclusionsUrls = ".js", ".gif", ".jpg", ".png", ".css", ".ico"; for (String str : exclusionsUrls) if (path.contains(str)) chain.doFilter(request, response); return; chain.doFilter(new XssRequestWrapper(httpServletRequest), response); * @program: xss-demo* @author: Mr.Zhang* @create: 2021-02-21 15:46**/ public XssRequestWrapper(HttpServletRequest request) super(request); /** * 获取策略文件，直接使用jar中自带的ebay策略文件 */ private static InputStream inputStream = XssRequestWrapper.class.getClassLoader() .getResourceAsStream("antisamy-ebay.xml"); private static Policy policy = null; static try // 使用静态代码块处理策略对象的创建 policy = Policy.getInstance(inputStream); catch (PolicyException e) e.printStackTrace(); /** * 使用AntiSamy进行过滤数据 * @param html * @return */ private String xssClean(String html) String cleanHTML = ""; try AntiSamy antiSamy = new AntiSamy(); CleanResults scan = antiSamy.scan(html, policy); cleanHTML = scan.getCleanHTML(); catch (ScanException e) e.printStackTrace(); catch (PolicyException e) e.printStackTrace(); return cleanHTML; /** * 重写处理请求参数的方法 * @param name * @return */ @Override public String[] getParameterValues(String name) String[] values = super.getParameterValues(name); // 判断参数有值，如果没有值，直接返回 if (values == null) return null; // 遍历参数数组，使用AntiSamy进行过滤 int len = values.length; String[] newValues = new String[len]; for (int i = 0; i < len; i++) // 过滤前的数据 log.info("使用AntiSamy进行过滤清理，过滤清理之前的数据：", values[i]); // 进行过滤 newValues[i] = xssClean(values[i]); // 过滤后的数据 log.info("使用AntiSamy进行过滤清理，过滤清理之后的数据：", newValues[i]); //返回过滤后的结果 return newValues; /** * 重写处理json数据的方法 * @return * @throws IOException */ @Override public ServletInputStream getInputStream() throws IOException // 读取流 BufferedReader reader = new BufferedReader( new InputStreamReader(super.getInputStream(), "UTF-8")); // 获取json格式的数据 StringBuilder sb = new StringBuilder(); String inputStr; while ((inputStr = reader.readLine()) != null) sb.append(inputStr); // 把json转为map Map map = JSON.parseObject(sb.toString(), Map.class); // 过滤前 log.info("json过滤前:", sb.toString()); // 对map中的value值进行AntiSamy的过滤 map.keySet().forEach(k -> map.put(k, xssClean(map.get(k).toString())); ); // 过滤后 String json = JSON.toJSONString(map); log.info("json过滤后:", json); // 把json数据转为流的格式进行返回 ByteArrayInputStream bais = new ByteArrayInputStream(json.getBytes()); return new ServletInputStream() @Override public boolean isFinished() return false; @Override public boolean isReady() return false; @Override public void setReadListener(ReadListener listener) @Override public int read() throws IOException return bais.read(); ; * @program: xss-demo* @author: Mr.Zhang* @create: 2021-02-21 15:58**/ /** * 配置xss过滤器 * @return */ @Bean public FilterRegistrationBean create() FilterRegistrationBean filterRegistrationBean = new FilterRegistrationBean(new XssFilter()); filterRegistrationBean.addUrlPatterns("/*"); filterRegistrationBean.setOrder(1); return filterRegistrationBean; * @program: xss-demo* @author: Mr.Zhang* @create: 2021-02-21 15:42 private int id; private String name; private int age;* @program: xss-demo* @author: Mr.Zhang* @create: 2021-02-21 15:43**/ /** * 表单 * @param user * @return */ @PostMapping("save") public String save(User user) log.info("name=, age=", user.getName(), user.getAge()); return JSON.toJSONString(user); /** * json数据格式请求体 * @param user * @return */ @PostMapping("json") public String saveJson(@RequestBody User user) log.info("user=", user.toString()); return JSON.toJSONString(user); content="form-action \'self\';">

CSP 常见可选策略设置如下：

策略	含义
default-src http: https: ；	只能通过外联的方式引用 js 和 css
default-src \'self\' http://smart4j.cn/；	只能在指定的域下加载文件（包含 img）
form-action \'self\'\'；	form 表单的只能在指定域提交
script-src \'self\';	只限制 js 文件在同域加载文件
report-uri /report;	向指定uri发送违规报告（不支持 meta 方式）