預防XSS攻擊，(參數/響應值)特殊字符過濾

一、什么是XSS攻擊 
XSS是一種經常出現在web應用中的計算機安全漏洞，它允許惡意web用戶將代碼植入到提供給其它用戶使用的頁面中。比如這些代碼包括HTML代碼和客戶端腳本。攻擊者利用XSS漏洞旁路掉訪問控制——例如同源策略(same origin policy)。這種類型的漏洞由於被黑客用來編寫危害性更大的網絡釣魚(Phishing)攻擊而變得廣為人知。對於跨站腳本攻擊，黑客界共識是：跨站腳本攻擊是新型的“緩沖區溢出攻擊“，而JavaScript是新型的“ShellCode”。

二、XSS漏洞的危害 
（1）網絡釣魚，包括盜取各類用戶賬號； 
（2）竊取用戶cookies資料，從而獲取用戶隱私信息，或利用用戶身份進一步對網站執行操作； 
（3）劫持用戶（瀏覽器）會話，從而執行任意操作，例如進行非法轉賬、強制發表日志、發送電子郵件等； 
（4）強制彈出廣告頁面、刷流量等； 
（5）網頁掛馬； 
（6）進行惡意操作，例如任意篡改頁面信息、刪除文章等； 
（7）進行大量的客戶端攻擊，如DDoS攻擊； 
（8）獲取客戶端信息，例如用戶的瀏覽歷史、真實IP、開放端口等； 
（9）控制受害者機器向其他網站發起攻擊； 
（10）結合其他漏洞，如CSRF漏洞，實施進一步作惡； 
（11）提升用戶權限，包括進一步滲透網站； 
（12）傳播跨站腳本蠕蟲等； 
……

三、如何編寫代碼來避免 
如下代碼可以避免XSS注入，但是作者因知識面有限，故不能保證100%能完全將XSS攻擊者拒之門外，還需大家根據實際情況進行優化和改進。 
既然我們通過代碼來解決問題，就盡可能的不涉及開發人員的對原有代碼修改，所以我們增加過濾器來攔截處理，本文原有框架使用springmvc。 
1、IllegalCharacterFilter.java

package com.lenovo.common.filter; import java.io.IOException; import javax.servlet.Filter; import javax.servlet.FilterChain; import javax.servlet.FilterConfig; import javax.servlet.ServletException; import javax.servlet.ServletRequest; import javax.servlet.ServletResponse; import javax.servlet.http.HttpServletRequest; /** * 非法字符過濾器，用來處理request.getParamater中的非法字符。如<script>alert('123');</script> * * @author 單紅宇(365384722) * @myblog http://blog.csdn.net/catoop/ * @create 2015年9月18日 */ public class IllegalCharacterFilter implements Filter { @Override public void init(FilterConfig filterConfig) throws ServletException { } @Override public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException { HttpServletRequest request = (HttpServletRequest)req; request = new MHttpServletRequest(request); chain.doFilter(request, res); } @Override public void destroy() { } } 

 

2、MHttpServletRequest.java

package com.lenovo.common.filter; import javax.servlet.http.HttpServletRequest; import javax.servlet.http.HttpServletRequestWrapper; import com.lenovo.common.utils.XssShieldUtil; /** * 參數特殊字符過濾 * * @author 單紅宇(365384722) * @myblog http://blog.csdn.net/catoop/ * @create 2015年9月18日 */ public class MHttpServletRequest extends HttpServletRequestWrapper { public MHttpServletRequest(HttpServletRequest request) { super(request); } @Override public String getParameter(String name) { // 返回值之前 先進行過濾 return XssShieldUtil.stripXss(super.getParameter(XssShieldUtil.stripXss(name))); } @Override public String[] getParameterValues(String name) { // 返回值之前 先進行過濾 String[] values = super.getParameterValues(XssShieldUtil.stripXss(name)); if(values != null){ for (int i = 0; i < values.length; i++) { values[i] = XssShieldUtil.stripXss(values[i]); } } return values; } } 

 

3、XssShieldUtil.java

package com.lenovo.common.utils;

import java.util.ArrayList;
import java.util.List;
import java.util.regex.Matcher;
import java.util.regex.Pattern;

import org.apache.commons.lang.StringUtils;

/** * 處理非法字符 * * @author 單紅宇(365384722) * @myblog http://blog.csdn.net/catoop/ * @create 2015年9月18日 */ public class XssShieldUtil { private static List<Pattern> patterns = null; private static List<Object[]> getXssPatternList() { List<Object[]> ret = new ArrayList<Object[]>(); ret.add(new Object[]{"<(no)?script[^>]*>.*?</(no)?script>", Pattern.CASE_INSENSITIVE}); ret.add(new Object[]{"eval\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL}); ret.add(new Object[]{"expression\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL}); ret.add(new Object[]{"(javascript:|vbscript:|view-source:)*", Pattern.CASE_INSENSITIVE}); ret.add(new Object[]{"<(\"[^\"]*\"|\'[^\']*\'|[^\'\">])*>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL}); ret.add(new Object[]{"(window\\.location|window\\.|\\.location|document\\.cookie|document\\.|alert\\(.*?\\)|window\\.open\\()*", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL}); ret.add(new Object[]{"<+\\s*\\w*\\s*(oncontrolselect|oncopy|oncut|ondataavailable|ondatasetchanged|ondatasetcomplete|ondblclick|ondeactivate|ondrag|ondragend|ondragenter|ondragleave|ondragover|ondragstart|ondrop|onerror=|onerroupdate|onfilterchange|onfinish|onfocus|onfocusin|onfocusout|onhelp|onkeydown|onkeypress|onkeyup|onlayoutcomplete|onload|onlosecapture|onmousedown|onmouseenter|onmouseleave|onmousemove|onmousout|onmouseover|onmouseup|onmousewheel|onmove|onmoveend|onmovestart|onabort|onactivate|onafterprint|onafterupdate|onbefore|onbeforeactivate|onbeforecopy|onbeforecut|onbeforedeactivate|onbeforeeditocus|onbeforepaste|onbeforeprint|onbeforeunload|onbeforeupdate|onblur|onbounce|oncellchange|onchange|onclick|oncontextmenu|onpaste|onpropertychange|onreadystatechange|onreset|onresize|onresizend|onresizestart|onrowenter|onrowexit|onrowsdelete|onrowsinserted|onscroll|onselect|onselectionchange|onselectstart|onstart|onstop|onsubmit|onunload)+\\s*=+", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL}); return ret; } private static List<Pattern> getPatterns() { if (patterns == null) { List<Pattern> list = new ArrayList<Pattern>(); String regex = null; Integer flag = null; int arrLength = 0; for(Object[] arr : getXssPatternList()) { arrLength = arr.length; for(int i = 0; i < arrLength; i++) { regex = (String)arr[0]; flag = (Integer)arr[1]; list.add(Pattern.compile(regex, flag)); } } patterns = list; } return patterns; } public static String stripXss(String value) { if(StringUtils.isNotBlank(value)) { Matcher matcher = null; for(Pattern pattern : getPatterns()) { matcher = pattern.matcher(value); // 匹配 if(matcher.find()) { // 刪除相關字符串 value = matcher.replaceAll(""); } } value = value.replaceAll("<", "&lt;").replaceAll(">", "&gt;"); } // if (LOG.isDebugEnabled()) // LOG.debug("strip value: " + value); return value; } public static void main(String[] args) { String value = null; value = XssShieldUtil.stripXss("<script language=text/javascript>alert(document.cookie);</script>"); System.out.println("type-1: '" + value + "'"); value = XssShieldUtil.stripXss("<script src='' onerror='alert(document.cookie)'></script>"); System.out.println("type-2: '" + value + "'"); value = XssShieldUtil.stripXss("</script>"); System.out.println("type-3: '" + value + "'"); value = XssShieldUtil.stripXss(" eval(abc);"); System.out.println("type-4: '" + value + "'"); value = XssShieldUtil.stripXss(" expression(abc);"); System.out.println("type-5: '" + value + "'"); value = XssShieldUtil.stripXss("<img src='' onerror='alert(document.cookie);'></img>"); System.out.println("type-6: '" + value + "'"); value = XssShieldUtil.stripXss("<img src='' onerror='alert(document.cookie);'/>"); System.out.println("type-7: '" + value + "'"); value = XssShieldUtil.stripXss("<img src='' onerror='alert(document.cookie);'>"); System.out.println("type-8: '" + value + "'"); value = XssShieldUtil.stripXss("<script language=text/javascript>alert(document.cookie);"); System.out.println("type-9: '" + value + "'"); value = XssShieldUtil.stripXss("<script>window.location='url'"); System.out.println("type-10: '" + value + "'"); value = XssShieldUtil.stripXss(" onload='alert(\"abc\");"); System.out.println("type-11: '" + value + "'"); value = XssShieldUtil.stripXss("<img src=x<!--'<\"-->>"); System.out.println("type-12: '" + value + "'"); value = XssShieldUtil.stripXss("<=img onstop="); System.out.println("type-13: '" + value + "'"); } } 

 

4、web.xml 配置

    <!-- 非法參數過濾器 --> <filter> <filter-name>IllegalCharacterFilter</filter-name> <filter-class>com.lenovo.common.filter.IllegalCharacterFilter</filter-class> </filter> <filter-mapping> <filter-name>IllegalCharacterFilter</filter-name> <url-pattern>*.do</url-pattern> </filter-mapping>