跨站脚本 XSS<一：防御方法>

1. 过滤特殊字符

避免XSS的方法之一主要是将用户所提供的内容进行过滤，许多语言都有提供对HTML的过滤：

• PHP的htmlentities()或是htmlspecialchars()。
• Python的cgi.escape()。
• ASP的Server.HTMLEncode()。
• ASP.NET的Server.HtmlEncode()或功能更强的Microsoft Anti-Cross Site Scripting Library
• Java的xssprotect (Open Source Library)。
• Node.js的node-validator。

 

 

2. 应用<java语言>

　　在web应用中主要是通过在过滤器中将可能造成攻击的字符进行转义，转义之后存到数据库中，从而避免攻击。

　　

 　　XSSFilter.java过滤器配置

package util.web;

import *;

/**
 * xss过滤器和CSRF过滤
 * 防 XSS 之全角替换半角
 * 防CSRF之HTTP 头设置 Referer过滤  
 * */
public class XSSFilter implements Filter {
    @Override
    public void init(FilterConfig filterconfig) throws ServletException {
        // TODO Auto-generated method stub
    }

    @Override
    public void doFilter(ServletRequest servletrequest,ServletResponse servletresponse, FilterChain filterchain)throws IOException, ServletException {        
        // 防 XSS
        XssHttpServletRequestWrapper xssRequest = new XssHttpServletRequestWrapper((HttpServletRequest)servletrequest);//***包装转换请求中的可能攻击的字段
        filterchain.doFilter(xssRequest, httpResp);
    }

    @Override
    public void destroy() {
        // TODO Auto-generated method stub

    }
}

 

 

　　XssHttpServletRequestWrapper .java 主要重写getParameter()和getParameterValues()方法，对获取的值进行转义。

package util.web;

import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
/**
 * 针对普通字符串进行过滤转义
 * 本质是把符号额度半角变成全角
 * 这样JS就执行不了了*/
public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {
    HttpServletRequest orgRequest = null; 
       
    public XssHttpServletRequestWrapper(HttpServletRequest request) { 
        super(request); 
        orgRequest = request; 
    } 
   
    /**
     * 覆盖getParameter方法，将参数名和参数值都做xss过滤。<br/>
     * 如果需要获得原始的值，则通过super.getParameterValues(name)来获取<br/>
     * getParameterNames,getParameterValues和getParameterMap也可能需要覆盖
     */ 
    @Override 
    public String getParameter(String name) { 
        String value = super.getParameter(xssEncode(name)); 
        if(value != null) { 
            value = xssEncode(value); 
        } 
        return value; 
    } 
   @Override 
  public String[] getParameterValues(String name) {
        String[]parameters=super.getParameterValues(name);
        if (parameters==null||parameters.length == 0) {
            return null;
        }
        for (int i = 0; i < parameters.length; i++) {
            parameters[i] = xssEncode(parameters[i]);
        }
        return parameters;
    }
    /**
     * 覆盖getHeader方法，将参数名和参数值都做xss过滤。<br/>
     * 如果需要获得原始的值，则通过super.getHeaders(name)来获取<br/>
     * getHeaderNames 也可能需要覆盖
     */ 
    @Override 
    public String getHeader(String name) { 
   
        String value = super.getHeader(xssEncode(name)); 
        if(value != null) { 
            value = xssEncode(value); 
        } 
        return value; 
    } 
   
    /**
     * 将容易引起xss漏洞的半角字符直接替换成全角字符
     * 
     * @param s
     * @return
     */ 
    private static String xssEncode(String s) { 
        if(s == null|| s.isEmpty()) { 
            return s; 
        } 
        StringBuilder sb = new StringBuilder(s.length() + 16); 
        for(int i = 0; i < s.length(); i++) { 
            char c = s.charAt(i); 
            switch(c) { 
            case'>': 
                sb.append("＞");// 转义大于号  
                break; 
            case'<': 
                sb.append("＜");// 转义小于号  
                break; 
            case'\'': 
                sb.append("＇");// 转义单引号  
                break; 
            /*case'\"': 
                sb.append("＂");// 转义双引号  ;***先注释掉，会影响json的转化
                break; */
            case'&': 
                sb.append("＆");// 转义&  
                break; 
            default: 
                sb.append(c); 
                break; 
            } 
        } 
        return sb.toString(); 
    } 
   
    /**
     * 获取最原始的request
     * 
     * @return
     */ 
    public HttpServletRequest getOrgRequest() { 
        return orgRequest; 
    } 
   
    /**
     * 获取最原始的request的静态方法
     * 
     * @return
     */ 
    public static HttpServletRequest getOrgRequest(HttpServletRequest req) { 
        if(req instanceof XssHttpServletRequestWrapper) { 
            return((XssHttpServletRequestWrapper) req).getOrgRequest(); 
        } 
   
        return req; 
    } 
}

 

 

3.结论

　　以上的方法中只是提供的一个简单和原理性的实现，在getParameter()和getParameterValues()方法中调用 xssEncode() 方法转义。

 

附：

　　通过Apache的一个xss转义项目也可以实现：https://code.google.com/archive/p/xssprotect/wikis/HowTouse.wiki

 

 

 

 参考资料：

　　1.http://itindex.net/detail/46431-xssproject-java-web

　　2.http://liuzidong.iteye.com/blog/1744023