Java防止xss攻擊附相關文件下載
跨站腳本（英語：Cross-site scripting，通常簡稱為：XSS）是一種網(wǎng)站應用程序的安全漏洞攻擊，是代碼注入的一種。它允許惡意用戶將代碼注入到網(wǎng)頁上，其他用戶在觀看網(wǎng)頁時就會受到影響。這類攻擊通常包含了HTML以及用戶端腳本語言。
XSS攻擊通常指的是通過利用網(wǎng)頁開發(fā)時留下的漏洞，通過巧妙的方法注入惡意指令代碼到網(wǎng)頁，使用戶加載并執(zhí)行攻擊者惡意制造的網(wǎng)頁程序。這些惡意網(wǎng)頁程序通常是JavaScript，但實際上也可以包括Java，VBScript，ActiveX，F(xiàn)lash或者甚至是普通的HTML。攻擊成功后，攻擊者可能得到更高的權限（如執(zhí)行一些操作）、私密網(wǎng)頁內(nèi)容、會話和cookie等各種內(nèi)容。
背景和現(xiàn)狀
當網(wǎng)景（Netscape）最初推出JavaScript語言時，他們也察覺到準許網(wǎng)頁服務器發(fā)送可執(zhí)行的代碼給一個瀏覽器的安全風險（即使僅是在一個瀏覽器的沙盒里）。它所造成的一個關鍵的問題在于用戶同時打開多個瀏覽器視窗時，在某些例子里，網(wǎng)頁里的片斷代碼被允許從另一個網(wǎng)頁或對象取出數(shù)據(jù)，而因為惡意的網(wǎng)站可以用這個方法來嘗試竊取機密信息，所以在某些情形，這應是完全被禁止的。為了解決這個問題，瀏覽器采用了同源決策——僅允許來自相同域名系統(tǒng)和使用相同協(xié)議的對象與網(wǎng)頁之間的任何交互。這樣一來，惡意的網(wǎng)站便無法借由JavaScript在另一個瀏覽器竊取機密數(shù)據(jù)。此后，為了保護用戶免受惡意的危害，其他的瀏覽器與伺服端指令語言采用了類似的訪問控制決策。
XSS漏洞可以追溯到1990年代。大量的網(wǎng)站曾遭受XSS漏洞攻擊或被發(fā)現(xiàn)此類漏洞，如Twitter[1]，F(xiàn)acebook[2]，MySpace，Orkut[3][4] ,新浪微博[5]和百度貼吧 。研究表明[6]，最近幾年XSS已經(jīng)超過緩沖區(qū)溢出成為最流行的攻擊方式，有68%的網(wǎng)站可能遭受此類攻擊。根據(jù)開放網(wǎng)頁應用安全計劃（Open Web Application Security Project）公布的2010年統(tǒng)計數(shù)據(jù)，在Web安全威脅前10位中，XSS排名第2，僅次于代碼注入（Injection）。[7]
檢測方法
通常有一些方式可以測試網(wǎng)站是否有正確處理特殊字符：
<script>alert(document.cookie)</script>
<script>alert(document.cookie)</script>
<script>alert(document.cookie)</script>
<script>alert(document.cookie)</script>
<script>alert (vulnerable)</script>
%3Cscript%3Ealert('XSS')%3C/script%3E
<script>alert('XSS')</script>
<img src="javascript:alert('XSS')">
<img src="http://xxx.com/yyy.png" onerror="alert('XSS')">
<div style="height:expression(alert('XSS'),1)"></div>（這個僅于IE7(含)之前有效）
攻擊手段和目的
攻擊者使被攻擊者在瀏覽器中執(zhí)行腳本后，如果需要收集來自被攻擊者的數(shù)據(jù)（如cookie或其他敏感信息），可以自行架設一個網(wǎng)站，讓被攻擊者通過JavaScript等方式把收集好的數(shù)據(jù)作為參數(shù)提交，隨后以數(shù)據(jù)庫等形式記錄在攻擊者自己的服務器上。
常用的XSS攻擊手段和目的有：
盜用cookie，獲取敏感信息。
利用植入Flash，通過crossdomain權限設置進一步獲取更高權限；或者利用Java等得到類似的操作。
利用iframe、frame、XMLHttpRequest或上述Flash等方式，以（被攻擊）用戶的身份執(zhí)行一些管理動作，或執(zhí)行一些一般的如發(fā)微博、加好友、發(fā)私信等操作。
利用可被攻擊的域受到其他域信任的特點，以受信任來源的身份請求一些平時不允許的操作，如進行不當?shù)耐镀被顒印?br />
在訪問量極大的一些頁面上的XSS可以攻擊一些小型網(wǎng)站，實現(xiàn)DDoS攻擊的效果。
漏洞的防御和利用
過濾特殊字符
避免XSS的方法之一主要是將用戶所提供的內(nèi)容進行過濾，許多語言都有提供對HTML的過濾：
PHP的htmlentities()或是htmlspecialchars()。
Python的cgi.escape()。
ASP的Server.HTMLEncode()。
ASP.NET的Server.HtmlEncode()或功能更強的Microsoft Anti-Cross Site Scripting Library
Java的xssprotect (Open Source Library)。（https://code.google.com/archive/p/xssprotect/）
Node.js的node-validator。
使用HTTP頭指定類型
很多時候可以使用HTTP頭指定內(nèi)容的類型，使得輸出的內(nèi)容避免被作為HTML解析。如在PHP語言中使用以下代碼：
<?php
header('Content-Type: text/javascript; charset=utf-8');
?>
即可強行指定輸出內(nèi)容為文本/JavaScript腳本（順便指定了內(nèi)容編碼），而非可以引發(fā)攻擊的HTML。
用戶方面
包括Internet Explorer、Mozilla Firefox在內(nèi)的大多數(shù)瀏覽器皆有關閉JavaScript的選項，但關閉功能并非是最好的方法，因為許多網(wǎng)站都需要使用JavaScript語言才能正常運作。通常來說，一個經(jīng)常有安全更新推出的瀏覽器，在使用上會比很久都沒有更新的瀏覽器更為安全。
解決提供兩個思路
1.使用過濾器過濾輸入字符，然后做相應處理。
處理方式：
一種是保留語意，將輸入的特殊字符轉譯存儲到數(shù)據(jù)庫，壞處是對數(shù)據(jù)庫或文件系統(tǒng)產(chǎn)生一些不必要的垃圾信息。
一種是過濾掉特殊字符，只保留正常數(shù)據(jù)，但是有些時候用戶需要輸入特殊字符，這樣不能保證數(shù)據(jù)原始性。
一種是不讓輸入，返回異常值。
以上都可以自行進行特殊處理，這里只提供些思路，怎么處理可以根據(jù)需求自己選擇
過濾器web.xml:
<filter> <filter-name>XSSFilter</filter-name> <filter-class>com.***.web.filter.XSSFilter</filter-class> </filter> <filter-mapping> <filter-name>XSSFilter</filter-name> <url-pattern>/*</url-pattern> <dispatcher>REQUEST</dispatcher> </filter-mapping>
過濾器：
import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
public class XSSFilter implements Filter {
FilterConfig filterConfig = null;
@Override
public void init(FilterConfig filterConfig) throws ServletException {
this.filterConfig = filterConfig;
}
@Override
public void destroy() {
this.filterConfig = null;
}
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
chain.doFilter(new XSSRequestWrapper((HttpServletRequest) request), response);
}
}
第一種過濾器： 使用commons-lang3-3.1.jar包的 org.apache.commons.lang3.StringEscapeUtils工具類對特殊字符進行轉譯。 Example:
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import org.apache.commons.lang3.StringEscapeUtils;
public class XSSRequestWrapper extends HttpServletRequestWrapper {
public XSSRequestWrapper(HttpServletRequest servletRequest) {
super(servletRequest);
}
@Override
public String getHeader(String name) {
return StringEscapeUtils.escapeHtml4(super.getHeader(name));
}
@Override
public String getQueryString() {
return StringEscapeUtils.escapeHtml4(super.getQueryString());
}
@Override
public String getParameter(String name) {
return StringEscapeUtils.escapeHtml4(super.getParameter(name));
}
@Override
public String[] getParameterValues(String name) {
String[] values = super.getParameterValues(name);
if (values != null) {
int length = values.length;
String[] escapseValues = new String[length];
for (int i = 0; i < length; i++) {
escapseValues[i] = StringEscapeUtils.escapeHtml4(values[i]);
}
return escapseValues;
}
return super.getParameterValues(name);
}
}
第二種過濾器：自己通過正則表達式手寫過濾，轉譯或者消除特殊字符。
Example:
import java.util.regex.Pattern;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
public class XSSRequestWrapper extends HttpServletRequestWrapper {
public XSSRequestWrapper(HttpServletRequest servletRequest) {
super(servletRequest);
}
@Override
public String[] getParameterValues(String parameter) {
String[] values = super.getParameterValues(parameter);
if (values == null) {
return null;
}
int count = values.length;
String[] encodedValues = new String[count];
for (int i = 0; i < count; i++) {
encodedValues[i] = stripXSS(values[i]);
}
return encodedValues;
}
@Override
public String getParameter(String parameter) {
String value = super.getParameter(parameter);
return stripXSS(value);
}
@Override
public String getHeader(String name) {
String value = super.getHeader(name);
return stripXSS(value);
}
private String stripXSS(String value) {
if (value != null) {
// Avoid null characters
value = value.replaceAll("", "");
// Avoid anything between script tags
Pattern scriptPattern = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid anything in a src='...' type of expression
scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"",
Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
// Remove any lonesome </script> tag
scriptPattern = Pattern.compile("</script>", Pattern.CASE_INSENSITIVE);
value = scriptPattern.matcher(value).replaceAll("");
// Remove any lonesome <script ...> tag
scriptPattern = Pattern.compile("<script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid eval(...) expressions
scriptPattern = Pattern.compile("eval\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid expression(...) expressions
scriptPattern = Pattern.compile("expression\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid javascript:... expressions
scriptPattern = Pattern.compile("javascript:", Pattern.CASE_INSENSITIVE);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid vbscript:... expressions
scriptPattern = Pattern.compile("vbscript:", Pattern.CASE_INSENSITIVE);
value = scriptPattern.matcher(value).replaceAll("");
// Avoid οnlοad= expressions
scriptPattern = Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
value = scriptPattern.matcher(value).replaceAll("");
}
return value;
}
}
第三種過濾器： 使用工具類xssProtect，項目中需要引入 xssProtect-0.1.jar、antlr-3.0.1.jar、antlr-runtime-3.0.1.jar 等3個 jar 包。具體實現(xiàn)沒有試驗，可以參考下這個：http://liuzidong.iteye.com/blog/1744023
用maven管理jar包的話，pom.xml如下:
<!-- https://mvnrepository.com/artifact/org.antlr/antlr --> <dependency> <groupId>org.antlr</groupId> <artifactId>antlr</artifactId> <version>3.0.1</version> </dependency> <!-- https://mvnrepository.com/artifact/org.antlr/antlr-runtime --> <dependency> <groupId>org.antlr</groupId> <artifactId>antlr-runtime</artifactId> <version>3.0.1</version> </dependency>
2.第二種思路就是輸入不管他，只在顯示的時候，進行轉譯，可以用過濾器或者自行解決。
如果頁面的展示大部分都在bootstrap表單里，那么bootstrap的自帶屬性就可以解決：
escape: true,// 是否轉義 默認 為false
個別可以自己在寫方法轉譯，例如：
var escapeHTML = function (text) {
if (typeof text === 'string') {
return text
.replace(/&/g, '&')
.replace(/</g, '<')
.replace(/>/g, '>')
.replace(/"/g, '"')
.replace(/'/g, ''')
.replace(/`/g, '`');
}
return text;
};
附件：
xssProtect-0.1.jar、antlr-3.0.1.jar、antlr-runtime-3.0.1.jar打包下載
相關文章
這篇文章主要介紹了Java終止線程實例和stop()方法源碼閱讀，具有一定借鑒價值,需要的朋友可以參考下2017-12-12
本篇文章介紹了我在開發(fā)過程中遇到的一個問題，以及解決該問題的過程及思路，通讀本篇對大家的學習或工作具有一定的價值，需要的朋友可以參考下2021-09-09
這篇文章主要介紹了java如何通過IP解析地理位置的實例，具有很好的參考價值，希望對大家有所幫助。如有錯誤或未考慮完全的地方，望不吝賜教2023-02-02
這篇文章主要為大家介紹了布隆過濾器面試中如何快速判斷元素是否在集合里的完美回復，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進步2022-03-03
Spring?Security實現(xiàn)接口放通的方法詳解
在用Spring?Security項目開發(fā)中，有時候需要放通某一個接口時，我們需要在配置中把接口地址配置上，這樣做有時候顯得麻煩。本文將通過一個注解的方式快速實現(xiàn)接口放通，感興趣的可以了解一下2022-05-05
繼承就是可以直接使用前輩的屬性和方法。自然界如果沒有繼承，那一切都是處于混沌狀態(tài)。多態(tài)是同一個行為具有多個不同表現(xiàn)形式或形態(tài)的能力。多態(tài)就是同一個接口，使用不同的實例而執(zhí)行不同操作2022-04-04
本文介紹spring cloud集成nacos config的過程,通過實例代碼圖文相結合給大家介紹的非常詳細,感興趣的朋友跟隨小編一起看看吧2024-08-08
springboot使用@KafkaListener監(jiān)聽多個kafka配置實現(xiàn)
當服務中需要監(jiān)聽多個kafka時,?需要配置多個kafka,本文主要介紹了springboot使用@KafkaListener監(jiān)聽多個kafka配置實現(xiàn),具有一定的參考價值,感興趣的可以了解一下2024-04-04
這篇文章主要介紹了java List去掉重復元素的幾種方式，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2020-06-06
在使用SpringBoot進行開發(fā)時，我們經(jīng)常需要對Spring容器的生命周期進行了解和掌握，本文將介紹SpringBoot容器的生命周期，包括容器的創(chuàng)建、初始化、銷毀等過程，并提供相應的代碼示例2023-06-06