web安全之XSS注入漏洞

XSS攻击简介

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

XSS攻击原理

HTML是一种超文本标记语言，通过将一些字符特殊地对待来区别文本和标记，例如，小于符号（<）被看作是HTML标签的开始，<title>与</title>之间的字符是页面的标题等等。当动态页面中插入的内容含有这些特殊字符（如<）时，用户浏览器会将其误认为是插入了HTML标签，当这些HTML标签引入了一段JavaScript脚本时，这些脚本程序就将会在用户浏览器中执行。所以，当这些特殊字符不能被动态页面检查或检查出现失误时，就将会产生XSS漏洞。

XSS攻击案例

1、利用XSS弹警告窗： <script>alert(‘xss’)</script>

2、获取cookie形式：<script>alert(document.cookie)</script>

3、嵌入其他网站： <iframe src=http://baidu.com width=0 height=0></iframe>

4、XSS输入也可能是HTML代码段，如使网页不停刷新： <meta http-equiv="refresh" content="0;">

解决方法

通过过滤器实现

在项目web.xml 中加入以下代码：

编写过滤器：

<filter>
       <filter-name>XssFilter</filter-name>
       <filter-class>cn.com.cis.acic.sales.common.web.XssFilter</filter-class>
   </filter>
   <filter-mapping>
       <filter-name>XssFilter</filter-name>
       <url-pattern>/*</url-pattern>
   </filter-mapping>
   <filter-mapping>
       <filter-name>XssFilter</filter-name>
       <url-pattern>*.do</url-pattern>
   </filter-mapping>
   <filter-mapping>
       <filter-name>XssFilter</filter-name>
       <url-pattern>*.jsp</url-pattern>
   </filter-mapping>

编写过滤器：


import java.io.IOException;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;



 
public class XssFilter implements Filter {

FilterConfig filterConfig = null;
	
	@Override
	public void destroy() {
		// TODO Auto-generated method stub
		 this.filterConfig = null;
	}

	@Override
	public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException {
		// TODO Auto-generated method stub
		 chain.doFilter(new XssShellInterceptor( (HttpServletRequest) request), response);
	}

	@Override
	public void init(FilterConfig filterConfig) throws ServletException {
		// TODO Auto-generated method stub

控制xss攻击关键字


import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;



 
public class XssShellInterceptor extends HttpServletRequestWrapper{

	public XssShellInterceptor(HttpServletRequest request) {
		super(request);
	}

	
	public String[] getParameterValues(String parameter) {
	      String[] values = super.getParameterValues(parameter);
	      if (values==null)  {
	                  return null;
	          }
	      int count = values.length;
	      String[] encodedValues = new String[count];
	      for (int i = 0; i < count; i++) {
	                 encodedValues[i] = cleanXSS(values[i]);
	       }
	      return encodedValues;
	    }
	    public String getParameter(String parameter) {
	          String value = super.getParameter(parameter);
	          if (value == null) {
	                 return null;
	                  }
	          return cleanXSS(value);
	    }
	    public String getHeader(String name) {
	        String value = super.getHeader(name);
	        if (value == null)
	            return null;
	        return cleanXSS(value);
	    }
	    
	    private String cleanXSS(String value) {
	    	  value = value.replaceAll("<", "& lt;").replaceAll(">", "& gt;");
	          value = value.replaceAll("'", "& #39;");
	          value = value.replaceAll("eval\\((.*)\\)", "");
	          value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']","\"\"");
	          value = value.replaceAll("script", "");
	          value = value.replaceAll("alert", "");
	        return value;
	    }

}