SpringBoot過濾XSS腳本攻擊

時間  2019-11-06
標籤 springboot 過濾 xss 腳本 攻擊 欄目 Spring 简体版
原文   原文鏈接

XSS攻擊是什麼

    XSS攻擊全稱跨站腳本攻擊，是爲不和層疊樣式表(Cascading Style Sheets, CSS)的縮寫混淆，故將跨站腳本攻擊縮寫爲XSS，XSS是一種在web應用中的計算機安全漏洞，它容許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。
    簡而言之，就是做惡用戶經過表單提交一些前端代碼，若是不作處理的話，這些前端代碼將會在展現的時候被瀏覽器執行。javascript

如何避免XSS攻擊

    這裏我根據我的經驗作一個總結，可能經驗也有不足之處。我我的解決XSS攻擊是經過後端轉譯的辦法來解決的。在實際項目中，react、vue等先後端徹底分離的框架彷佛已經幫咱們處理了XSS腳本，這個本人對於前端略懂皮毛而已，這裏就不作探討了。下面主要實現之後端作XSS過濾。css

代碼實現

    對於過濾XSS腳本的代碼，經過搜索引擎能夠搜索到不少，但彷佛都不是那麼全面。基本上都是隻能過濾querystring類型的入參，而不能過濾json類型的入參。其實，在如今的開發中，更多的是使用json類型作數據交互。下面就直接貼代碼了：前端

XssAndSqlHttpServletRequestWrapper.java

XssUtilpackage com.loger.filter; import org.apache.commons.lang3.StringUtils; import org.apache.commons.text.StringEscapeUtils; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletRequestWrapper; /** * @author wbs * 防止XSS攻擊 */ public class XssAndSqlHttpServletRequestWrapper extends HttpServletRequestWrapper { private HttpServletRequest request; public XssAndSqlHttpServletRequestWrapper(HttpServletRequest request) { super(request); this.request = request; } @Override public String getParameter(String name) { String value = request.getParameter(name); if (!StringUtils.isEmpty(value)) { value = StringEscapeUtils.escapeHtml4(value); } return value; } @Override public String[] getParameterValues(String name) { String[] parameterValues = super.getParameterValues(name); if (parameterValues == null) { return null; } for (int i = 0; i < parameterValues.length; i++) { String value = parameterValues[i];
　　　　　　//這個過濾xss攻擊的工具類，如今是藉助第三方插件使用的。 也能夠本身寫一個工具類 好比下面的 
parameterValues[i] = XssUtil.xssEncode(parameterValues[i]);　　　　　　parameterValues[i] = StringEscapeUtils.escapeHtml4(value);
　　　　　　//自定義工具類
　　　　　　//

　　　　 } return parameterValues; } }

    簡單講解下,這裏重寫了兩個方法：getParameter和getParameterValues，getParameter方法是直接經過request得到querystring類型的入參調用的方法。若是是經過springMVC註解類型來得到參數的話，走的是getParameterValues的方法。
    StringEscapeUtils.escapeHtml4這個方法來自Apache的工具類，maven座標以下：vue

<dependency> <groupId>org.apache.commons</groupId> <artifactId>commons-text</artifactId> <version>1.4</version> </dependency>


　//若是使用的是上面黃色的自定義工具類，來過濾xss 關鍵字，就須要導入下面XssUtils工具類，若是不使用的話下面這個工具類，就直接跳過不須要管。 可是有些人說爲啥有第三方工具類，還要使用自定義工具類呢，
應爲使用第三方插件時，進行代碼掃描時（咱們公司項目上線須要進行代碼掃描）會有問題（這個問題不影響代碼使用），因此我用的是自定義類。總之這兩種 工具類均可以用，不影響功能的實現。

/**
 * @Author wbs
 * @Description Web防火牆工具類
 */
public class XssUtil {

    public static final String REPLACE_STRING = "*";

    private XssUtil() {
    }

    /**
     * xss校驗
     * @param s
     * @return
     */
    public static String xssEncode(String s) {
        if (StringUtils.isEmpty(s)) {
            return s;
        } else {
            s = stripXSSAndSql(s);
        }
        StringBuilder sb = new StringBuilder(s.length() + 16);
        for (int i = 0; i < s.length(); i++) {
            char c = s.charAt(i);
            switch (c) {
                case '>':
                    sb.append("＞");// 轉義大於號
                    break;
                case '<':
                    sb.append("＜");// 轉義小於號
                    break;
                case '\'':
                    sb.append("＇");// 轉義單引號
                    break;
                case '\"':
                    sb.append("＂");// 轉義雙引號
                    break;
                case '&':
                    sb.append("＆");// 轉義&
                    break;
                case '#':
                    sb.append("＃");// 轉義#
                    break;
                default:
                    sb.append(c);
                    break;
            }
        }
        return sb.toString();
    }

    /**
     * xss校驗
     * @param value
     * @return
     */
    public static String stripXSSAndSql(String value) {
        if (StringUtils.isNotEmpty(value)) {
            // Avoid null characters
            value = value.replaceAll(" ", REPLACE_STRING);
            // Avoid anything between script tags
            Pattern scriptPattern = Pattern.compile("<[\r\n| | ]*script[\r\n| | ]*>(.*?)</[\r\n| | ]*script[\r\n| | ]*>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Avoid anything in a src="http://www.yihaomen.com/article/java/..." type of e-xpression
            scriptPattern = Pattern.compile("src[\r\n| | ]*=[\r\n| | ]*[\\\"|\\\'](.*?)[\\\"|\\\']", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Remove any lonesome </script> tag
            scriptPattern = Pattern.compile("</[\r\n| | ]*script[\r\n| | ]*>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Remove any lonesome <script ...> tag
            scriptPattern = Pattern.compile("<[\r\n| | ]*script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Avoid eval(...) expressions
            scriptPattern = Pattern.compile("eval\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Avoid e-xpression(...) expressions
            scriptPattern = Pattern.compile("e-xpression\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Avoid javascript:... expressions
            scriptPattern = Pattern.compile("javascript[\r\n| | ]*:[\r\n| | ]*", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Avoid vbscript:... expressions
            scriptPattern = Pattern.compile("vbscript[\r\n| | ]*:[\r\n| | ]*", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Avoid onload= expressions
            scriptPattern = Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll(REPLACE_STRING);
            // Avoid /r /n:... expressions
            scriptPattern = Pattern.compile("\"\\\\s*|\\t|\\r|\\n\"", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
        }
        return value;
    }

}

    過濾的代碼寫完了，下面就是在一個filter中應用該代碼。java

XssFilter.java

package com.loger.filter; import com.fasterxml.jackson.databind.ObjectMapper; import com.fasterxml.jackson.databind.module.SimpleModule; import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Primary; import org.springframework.http.converter.json.Jackson2ObjectMapperBuilder; import org.springframework.stereotype.Component; import javax.servlet.*; import javax.servlet.annotation.WebFilter; import javax.servlet.http.HttpServletRequest; import java.io.IOException; /** * @author wbs */ 
@WebFilter(filterName = "xssFilter", urlPatterns = "/*", asyncSupported = true)
@Component public class XssFilter implements Filter { @Override public void init(FilterConfig filterConfig) throws ServletException { } @Override public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException { HttpServletRequest req = (HttpServletRequest) request; XssAndSqlHttpServletRequestWrapper xssRequestWrapper = new XssAndSqlHttpServletRequestWrapper(req); chain.doFilter(xssRequestWrapper, response); } @Override public void destroy() { } /** * 過濾json類型的 * @param builder * @return */ @Bean @Primary public ObjectMapper xssObjectMapper(Jackson2ObjectMapperBuilder builder) { //解析器 ObjectMapper objectMapper = builder.createXmlMapper(false).build(); //註冊xss解析器 SimpleModule xssModule = new SimpleModule("XssStringJsonSerializer"); xssModule.addSerializer(new XssStringJsonSerializer()); objectMapper.registerModule(xssModule); //返回 return objectMapper; } }

    就這樣，過濾querystring類型的代碼已經完成(xssObjectMapper這個是後面過濾json類型纔用到的)。下面來實現過濾json類型的代碼：react

XssStringJsonSerializer.java

package com.loger.filter; import com.fasterxml.jackson.core.JsonGenerator; import com.fasterxml.jackson.databind.JsonSerializer; import com.fasterxml.jackson.databind.SerializerProvider; import org.apache.commons.text.StringEscapeUtils; import java.io.IOException; public class XssStringJsonSerializer extends JsonSerializer<String> { @Override public Class<String> handledType() { return String.class; } @Override public void serialize(String value, JsonGenerator jsonGenerator, SerializerProvider serializerProvider) throws IOException { if (value != null) { String encodedValue = StringEscapeUtils.escapeHtml4(value); jsonGenerator.writeString(encodedValue); } } }

    這裏經過修改SpringMVC的json序列化來達到過濾xss的目的的。其實也能夠經過第一種方法，重寫getInputStream方法來實現，但因爲獲得的是ServletInputStream，不太好處理。(經過json類型傳參會走getInputStream方法，經過重寫該方法打印輸出能夠證實)
    下面能夠經過幾個例子驗證下是否成功：
    簡單寫一個controllerweb

TestController.java

package com.loger.controller; import org.springframework.web.bind.annotation.*; import org.springframework.web.multipart.MultipartFile; /** * @author wbs * Description : */ @RestController @RequestMapping(value = "/test") public class TestController { @PostMapping(value = "/xss") public Object test(String name) { System.out.println(name); return name; } @PostMapping(value = "/json") public Object testJSON(@RequestBody Param param) { return param; } @GetMapping(value = "/query") public Object testQuery(String q){ return q; } @PostMapping(value = "/upload") public Object upload(MultipartFile file){ System.out.println(file.getOriginalFilename()); return "OK"; } }

下面經過postman測試下效果：spring

 
 
圖片.png
 
圖片.png
 
相關文章
相關標籤/搜索
每日一句
    每一个你不满意的现在，都有一个你没有努力的曾经。
本站公眾號
   歡迎關注本站公眾號,獲取更多信息
聯繫我們 最近搜索 最新文章 沪ICP备13005482号-10 MyBatis教程 SQL 教程 MySQL教程 Java 教程 Thymeleaf 教程 Hibernate教程 Spring教程 Redis教程