java解决xss攻击
本文内容纲要：
一、xss攻击
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、VBScript、ActiveX、Flash或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。
简单说就是说，通过在输入框输入一些js代码，如在账号密码输入框中输入
<videosrc=1onerror=alert(/xss/)/>
或者
这样点击提交的时候就会触发alert弹窗，分别弹出xss和@@的内容，这里只是做个简单的演示，弹了个窗口，还能存储病毒下载地址到服务端，进入的时候自动下载，或者修改你的cookie啥的，这里感兴趣可以百度查查xss攻击。
二、如何防御
解决思路对用户提交表单的参数进行转移，如把<转换为<把>转换为&rt；
java有很多的过滤工具类
<dependency>
<groupId>commons-lang</groupId>
<artifactId>commons-lang</artifactId>
<version>2.6</version>
</dependency>
然后通过下面的代码即可过滤
StringEscapeUtils.escapeHtml(string);
底层也是将一切标签进行转移，达到js调用不生效的作用。
这里使用的是filter过请求进行拦截处理。
过滤的内容报过get请求的参数、对象，post形式body中的参数
1）添加xss过滤器
<!--xss过滤器-->
<filter>
<filter-name>XssgFilter</filter-name>
<filter-class>com.train.web.filter.XssFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>XssgFilter</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
这里过滤了所有的请求，其中XssFilter是我们自己过滤器
2）添加自己的过滤器，
importjavax.servlet.*;
importjavax.servlet.http.HttpServletRequest;
importjava.io.IOException;
publicclassXssFilterimplementsFilter{
@Override
publicvoidinit(FilterConfigfilterConfig)throwsServletException{
}
@Override
publicvoiddoFilter(ServletRequestservletRequest,ServletResponseservletResponse,FilterChainfilterChain)throwsIOException,ServletException{
XssHttpServletRequestWrapperreq=newXssHttpServletRequestWrapper((HttpServletRequest)servletRequest);
filterChain.doFilter(req,servletResponse);
}
@Override
publicvoiddestroy(){
}
}
3）定义自己的http包装类
publicclassXssHttpServletRequestWrapperextendsHttpServletRequestWrapper{
booleanisUpData=false;//判断是否是上传上传忽略
publicXssHttpServletRequestWrapper(HttpServletRequestservletRequest){
super(servletRequest);
StringcontentType=servletRequest.getContentType();
if(null!=contentType)
isUpData=contentType.startsWith("multipart");
}
@Override
publicString[]getParameterValues(Stringparameter){
String[]values=super.getParameterValues(parameter);
if(values==null){
returnnull;
}
intcount=values.length;
String[]encodedValues=newString[count];
for(inti=0;i<count;i++){
encodedValues[i]=cleanXSS(values[i]);
}
returnencodedValues;
}
@Override
publicStringgetParameter(Stringparameter){
Stringvalue=super.getParameter(parameter);
if(value==null){
returnnull;
}
returncleanXSS(value);
}
/**
*获取request的属性时，做xss过滤
*/
@Override
publicObjectgetAttribute(Stringname){
Objectvalue=super.getAttribute(name);
if(null!=value&&valueinstanceofString){
value=cleanXSS((String)value);
}
returnvalue;
}
@Override
publicStringgetHeader(Stringname){
Stringvalue=super.getHeader(name);
if(value==null)
returnnull;
returncleanXSS(value);
}
privatestaticStringcleanXSS(Stringvalue){
value=value.replaceAll("<","<").replaceAll(">",">");
value=value.replaceAll("%3C","<").replaceAll("%3E",">");
value=value.replaceAll("\\(","(").replaceAll("\\)",")");
value=value.replaceAll("%28","(").replaceAll("%29",")");
value=value.replaceAll("'","'");
value=value.replaceAll("eval\\((.*)\\)","");
value=value.replaceAll("[\\\"\\\'][\\s]*(.*)[\\\"\\\']","\"\"");
value=value.replaceAll("script","");
returnvalue;
}
@Override
publicServletInputStreamgetInputStream()throwsIOException{
if(isUpData){
returnsuper.getInputStream();
}else{
finalByteArrayInputStreambais=newByteArrayInputStream(inputHandlers(super.getInputStream()).getBytes());
returnnewServletInputStream(){
@Override
publicintread()throwsIOException{
returnbais.read();
}
@Override
publicbooleanisFinished(){
returnfalse;
}
@Override
publicbooleanisReady(){
returnfalse;
}
@Override
publicvoidsetReadListener(ReadListenerreadListener){}
};
}
}
publicStringinputHandlers(ServletInputStreamservletInputStream){
StringBuildersb=newStringBuilder();
BufferedReaderreader=null;
try{
reader=newBufferedReader(newInputStreamReader(servletInputStream,Charset.forName("UTF-8")));
Stringline="";
while((line=reader.readLine())!=null){
sb.append(line);
}
}catch(IOExceptione){
e.printStackTrace();
}finally{
if(servletInputStream!=null){
try{
servletInputStream.close();
}catch(IOExceptione){
e.printStackTrace();
}
}
if(reader!=null){
try{
reader.close();
}catch(IOExceptione){
e.printStackTrace();
}
}
}
returncleanXSS(sb.toString());
}
}
但是这里有个问题，假如这里还有一些特殊的需求，有些html标签是希望在前端能显示的，前端通过一些已经防止了xss攻击的富文本控件输入信息，后台不希望将这些信息转义
三、添加一些额外的内容
1）希望能动态的开关
2）期待部分接口的接口的参数是能存在标签的
添加一个xss开关的控制类，这里使用了配置中心
importorg.springframework.beans.factory.annotation.Value;
importorg.springframework.stereotype.Component;
@Component
publicclassXSSFilterConfigUtil{
publicstaticBooleanopenXssProtect;
publicstaticBooleangetOpenXssProtect(){
returnopenXssProtect==null?false:openXssProtect;
}
@Value("${open.xss.protect}")
publicvoidsetOpenXssProtect(BooleanopenXssProtect){
XSSFilterConfigUtil.openXssProtect=openXssProtect;
}
}
注意的是：
1.@Value无法为静态属性注入值，所以需要添加set方法为其注入值；
2.工具类必须添加@Component或者@Service注解，否则@Value不起作用。
静态方法中注入了值以后，Filter中就可以直接使用了。
修改上面的http包装类，这里不对"进行过滤，过滤的话，会把json的""个去除，使用@RequestBody没办法解析成为一个正常的对象
importcom.alibaba.fastjson.JSONObject;
importcom.train.service.impl.XSSFilterConfigUtil;
importorg.apache.commons.lang.StringUtils;
importorg.slf4j.Logger;
importorg.slf4j.LoggerFactory;
importjavax.servlet.ServletInputStream;
importjavax.servlet.http.HttpServletRequest;
importjavax.servlet.http.HttpServletRequestWrapper;
importjava.io.BufferedReader;
importjava.io.ByteArrayInputStream;
importjava.io.IOException;
importjava.io.InputStreamReader;
importjava.nio.charset.Charset;
importjava.util.HashMap;
importjava.util.Map;
importjava.util.regex.Matcher;
importjava.util.regex.Pattern;
/**
*防护http处理
*1.过滤xss
*/
publicclassXssHttpServletRequestWrapperextendsHttpServletRequestWrapper{
privatestaticfinalLoggerLOGGER=LoggerFactory.getLogger(XssHttpServletRequestWrapper.class);
booleanisUpData=false;//判断是否是上传上传忽略
//不期待被过滤的的链接和字段（管理后台使用了富文本，希望有可编辑的内容）
HashMap<String,String>doNotFilterURLAndParamMap=newHashMap<String,String>(){
{
put("/api/v2/group/manage","description");
put("/api/v1/sendNews","content");
}
};
/**
*Constructsarequestobjectwrappingthegivenrequest.
*
*@paramrequestTherequesttowrap
*@throwsIllegalArgumentExceptioniftherequestisnull
*/
publicXssHttpServletRequestWrapper(HttpServletRequestrequest){
super(request);
StringcontentType=request.getContentType();
if(null!=contentType)
isUpData=contentType.startsWith("multipart");
}
/**
*过滤单个参数
*@paramname
*@return
*/
@Override
publicStringgetParameter(Stringname){
Stringparameter=super.getParameter(name);
if(StringUtils.isNotBlank(parameter)&&XSSFilterConfigUtil.getOpenXssProtect()){
//这里使用的阿帕奇的common-lang3中的转义html方法,也可以自己实现,
StringescapeParameter=this.cleanXSS(parameter);
returnescapeParameter;
}
returnparameter;
}
/**
*过滤实体的每个参数
*@paramname
*@return
*/
@Override
publicString[]getParameterValues(Stringname){
String[]parameterValues=super.getParameterValues(name);
if(parameterValues==null){
returnnull;
}
if(XSSFilterConfigUtil.getOpenXssProtect()){
for(inti=0;i<parameterValues.length;++i){
Stringvalue=parameterValues[i];
parameterValues[i]=this.cleanXSS(value);
}
}
returnparameterValues;
}
/**
*处理@RequestBody的形式传入的json数据
*@return
*@throwsIOException
*/
@Override
publicServletInputStreamgetInputStream()throwsIOException{
if(!XSSFilterConfigUtil.getOpenXssProtect()){
returnsuper.getInputStream();
}
if(isUpData){
returnsuper.getInputStream();
}else{
finalByteArrayInputStreambais=newByteArrayInputStream(inputHandlers(super.getInputStream()).getBytes());
returnnewServletInputStream(){
@Override
publicintread()throwsIOException{
returnbais.read();
}
};
}
}
publicStringinputHandlers(ServletInputStreamservletInputStream){
StringBuildersb=newStringBuilder();
BufferedReaderreader=null;
try{
reader=newBufferedReader(newInputStreamReader(servletInputStream,Charset.forName("UTF-8")));
Stringline="";
while((line=reader.readLine())!=null){
sb.append(line);
}
}catch(IOExceptione){
e.printStackTrace();
}finally{
if(servletInputStream!=null){
try{
servletInputStream.close();
}catch(IOExceptione){
e.printStackTrace();
}
}
if(reader!=null){
try{
reader.close();
}catch(IOExceptione){
e.printStackTrace();
}
}
}
StringrequestUrl=StringUtils.replaceOnce(this.getRequestURI(),this.getContextPath(),StringUtils.EMPTY);
booleanneedFilter=false;
Stringkey="";
Stringparam="";
for(Map.Entry<String,String>entry:doNotFilterURLAndParamMap.entrySet()){
key=entry.getKey();
intindex=StringUtils.indexOf(key,"*");
if(index>0){
String[]array=key.split("\\*");
StringBufferstringBuffer=newStringBuffer();
for(Strings:array){
stringBuffer.append(s).append("(.*)");
}
Patternp=Pattern.compile(stringBuffer.toString());
Matcherm=p.matcher(requestUrl);
if(m.find()){
needFilter=true;
param=entry.getValue();
break;
}
}else{
if(requestUrl.equals(key)){
needFilter=true;
param=entry.getValue();
break;
}
}
}
if(needFilter){//有需要特殊处理的字段，不希望过滤标签
try{
/*Stringparam=doNotFilterURLAndParamMap.get(requestUrl);*/
JSONObjectjsonObject=JSONObject.parseObject(sb.toString());
if(jsonObject.containsKey(param)){
ObjectnotFilterValue=jsonObject.get(param);
StringcleanXSSParams=cleanXSS(sb.toString());
JSONObjectfilteredJson=JSONObject.parseObject(cleanXSSParams);
filteredJson.put(param,notFilterValue);
returnfilteredJson.toJSONString();
}else{
returncleanXSS(sb.toString());
}
}catch(Exceptione){
LOGGER.error("XssHttpServletRequestWrapper转换json数据失败",e);
returncleanXSS(sb.toString());//异常时，就直接过滤，不管需要特殊处理的参数
}
}else{
returncleanXSS(sb.toString());
}
}
/**
*过滤规则，这里不直接使用StringEscapeUtils.escapeHtml，因为获取的是一个json字符串，会将"替换导致数据异常，没有""进行分割，无法正常注入到@RequestBody
*@paramvalue
*@return
*/
privatestaticStringcleanXSS(Stringvalue){
value=value.replaceAll("<","<").replaceAll(">",">");
value=value.replaceAll("%3C","<").replaceAll("%3E",">");
//value=value.replaceAll("\\(","(").replaceAll("\\)",")");
value=value.replaceAll("%28","(").replaceAll("%29",")");
//value=value.replaceAll("'","'");
/*value=value.replaceAll("eval\\((.*)\\)","");
value=value.replaceAll("[\\\"\\\'][\\s]*(.*)[\\\"\\\']","\"\"");
value=value.replaceAll("script","");*/
returnvalue;
}
}
感谢你的阅读，接外包、也找兼职
本文内容总结：
原文链接：https://www.cnblogs.com/0201zcr/p/13143165.html