關於XSS漏洞修復

　　XSS即惡意腳本攻擊漏洞，詳細的描述網上介紹的很詳細。我說一下自己在工作中對這種漏洞的修復方案，僅供參考。

　　第一階段：使用ESAPI

　　這是一個Apache開發的安全組件，主要用於解決SQL注入和惡意腳本注入。

　　使用ESAPI防止XSS攻擊時，首先應當配置過濾器（注意在過濾器中chain.doFilter(..)方法中的Request對象進行包裝，在包裝類中對請求參數進行篩選操作）；其次將過濾器注冊到web.xml文件中；最后配置Request的包裝類，在其中對請求信息進行過濾。

import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;

/*
 *配置XSS過濾器 
 */
public class XSSFilter implements Filter {
    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
    }
    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
        throws IOException, ServletException {
        chain.doFilter(new XSSRequestWrapper((HttpServletRequest) request), response);
    }
    @Override
    public void destroy() {
    }
}

<!-- XSS攻擊防范 -->
<filter>
    <filter-name>XSSFilter</filter-name>
    <filter-class>過濾器全類名</filter-class>
    </filter>
<filter-mapping>
    <filter-name>XSSFilter</filter-name>
        <url-pattern>/*</url-pattern>
        <dispatcher>REQUEST</dispatcher>
        <dispatcher>FORWARD</dispatcher>
</filter-mapping>

import java.net.URLDecoder;
import java.util.regex.Pattern;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import org.owasp.esapi.ESAPI;

/*
 * 對傳入參數進行校驗
 */
public class XSSRequestWrapper extends HttpServletRequestWrapper {
    public XSSRequestWrapper(HttpServletRequest servletRequest) {
        super(servletRequest);
    }
    @Override
    public String[] getParameterValues(String parameter) {
        String[] values = super.getParameterValues(parameter);        
        if (values == null) {
            return null;
        }
        int count = values.length;
        String[] encodedValues = new String[count];
        for (int i = 0; i < count; i++) {
            encodedValues[i] = stripXSS(values[i]);
        }
        return encodedValues;
    }
    @Override
    public String getParameter(String parameter) {
        String value = super.getParameter(parameter);
        return stripXSS(value);
    }
    @Override
    public String getHeader(String name) {
        String value = super.getHeader(name);
        return stripXSS(value);
    }

        private String stripXSS(String value) {
        if (value != null) {
            //解析URL編碼，防止前台的編碼后的參數進入ESAPI過濾后無法正常解碼
            value = URLDecoder.decode(value);
             // 使用ESAPI的防護功能避免XSS攻擊
            value = ESAPI.encoder().canonicalize(value);
            // 去除空字符
            value = value.replaceAll("", "");
            // 過濾腳本標簽間(如:<script>..</script>)的內容
            Pattern scriptPattern = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            //過濾由項目路徑(src)直接訪問項目資源的行為
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 過濾單個</script>標簽
            scriptPattern = Pattern.compile("</script>", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 過濾單個<script ...> 標簽
            scriptPattern = Pattern.compile("<script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 過濾 eval(...) 表達式
            scriptPattern = Pattern.compile("eval\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 過濾e­xpression(...) 表達式
            scriptPattern = Pattern.compile("e­xpression\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
            // 過濾javascript:表達式攻擊
            scriptPattern = Pattern.compile("javascript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 過濾vbscript：表達式攻擊
            scriptPattern = Pattern.compile("vbscript:", Pattern.CASE_INSENSITIVE);
            value = scriptPattern.matcher(value).replaceAll("");
            // 過濾onload=事件
            scriptPattern = Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
            value = scriptPattern.matcher(value).replaceAll("");
        }
        return value;
    }
}

　　注意：開啟ESAPI的防護功能時（value = ESAPI.encoder().canonicalize(value);），需要提前對要篩選的值進行URL解碼（value = URLDecoder.decode(value);），否則會出現中文亂碼。

　　第二階段（可選）：使用CSF(Content Security Policy)安全策略

　　CSF是一種白名單防御策略，所有不在名單內的資源都不被信任，有效的防止了通過外部的標簽、腳本、JS文件等資源的入侵形式，詳情請看http://www.ruanyifeng.com/blog/2016/09/csp.html，我也是在這位大佬的網站上學習的CSF.

　　使用方式：

　　1.通過<meta http-equiv="Content-Security-Policy" content="script-src 'self'; object-src 'none'; style-src cdn.example.org third-party.org; child-src https:">標簽將CSP嵌入到頁面中。但是這種做法會對所有頁面添加一個過濾項，加長了頁面的訪問時間，降低了用戶體驗；我加到項目中的時候還出現了某些樣式文件加載不全的現象，沒有必要不建議這么做。

　　2.通過使用Nginx配置HTTP 頭信息的Content-Security-Policy的字段，但是一般的公司都不允許更改Nginx，一旦Nginx做了某種配置，整個項目都受影響，這種方式基本沒戲。