Что делать, чтобы предотвратить XSS в Spring MVC? Прямо сейчас я просто помещаю все места, где я выводил текст пользователя в теги JSTL <c:out> или fn:escapeXml(), но это кажется склонным к ошибкам, поскольку я могу пропустить место.
Есть ли простой систематический способ предотвратить это? Может быть, фильтр или что-то еще? Я собираю ввод, задавая параметры @RequestParam в моих методах контроллера.
В Spring вы можете избежать html с JSP-страниц, сгенерированных тэгами <form>. Это закрывает много возможностей для атак XSS и может быть выполнено автоматически тремя способами:
Для всего приложения в файле web.xml:
<context-param>
<param-name>defaultHtmlEscape</param-name>
<param-value>true</param-value>
</context-param>
Для всех форм на данной странице в самом файле:
<spring:htmlEscape defaultHtmlEscape="true" />
Для каждой формы:
<form:input path="someFormField" htmlEscape="true" />
Попробуйте XSSFilter.
Когда вы пытаетесь предотвратить XSS, важно подумать о контексте. В качестве примера, как и что избежать, очень сильно отличается, если вы используете данные внутри переменной в фрагменте javascript в отличие от вывода данных в тег HTML или атрибут HTML.
У меня есть пример этого здесь: http://erlend.oftedal.no/blog/?blogid=91
Также проверьте OWASP XSS Prevention Cheat Sheet: http://www.owasp.org/index.php/XSS_%28Cross_Site_Scripting%29_Prevention_Cheat_Sheet
Итак, короткий ответ: убедитесь, что вы избегаете выхода, как это предлагает Тендайи Мауше, но будьте особенно осторожны, когда вы выводите данные в атрибутах HTML или javascript.
Я использую Hibernate Validator через @Valid для всех входных объектов (привязка и @RequestBody json, см. https://dzone.com/articles/spring-31-valid-requestbody). Поэтому @org.hibernate.validator.constraints.SafeHtml - хорошее решение для меня.
Hibernate SafeHtmlValidator зависит от org.jsoup, поэтому ему необходимо добавить еще одну зависимость проекта:
<dependency>
<groupId>org.jsoup</groupId>
<artifactId>jsoup</artifactId>
<version>1.10.1</version>
</dependency>
Для bean User с полем
@NotEmpty
@SafeHtml
protected String name;
для попытки обновления со значением <script>alert(123)</script> в контроллере
@PutMapping(value = "/{id}", consumes = MediaType.APPLICATION_JSON_VALUE)
public void update(@Valid @RequestBody User user, @PathVariable("id") int id)
или
@PostMapping
public void createOrUpdate(@Valid User user) {
выбрано BindException для привязки и MethodArgumentNotValidException для @RequestBody с сообщением по умолчанию:
name may have unsafe html content
Валидатор работает также для привязки, как и раньше. Приложения могут быть протестированы на http://topjava.herokuapp.com/
Как вы собираете пользовательский ввод в первую очередь? Этот вопрос/ответ может помочь, если вы используете FormController:
Всегда проверяйте вручную методы, теги, которые вы используете, и убедитесь, что они всегда убегают (один раз) в конце. В ракурсах есть много ошибок и различий в этом аспекте.
Вместо того, чтобы полагаться только на <c:out />, необходимо также использовать библиотеку antixss, которая будет не только кодировать, но и дезинфицировать вредоносный script вход. Одна из лучших доступных библиотек - OWASP Antisamy, она очень гибкая и может быть настроена (с использованием файлов политики xml) согласно требованию.
Например, если приложение поддерживает только ввод текста, то может использоваться общий общий , предоставляемый OWASP, который дезинфицирует и удаляет большинство тэгов html. Аналогично, если приложения поддерживают html-редакторы (например, tinymce), которым требуются все типы html-тегов, может использоваться более гибкая политика, например файл политики ebay
**To avoid XSS security threat in spring application**
решение проблемы XSS состоит в том, чтобы отфильтровать все текстовые поля в форме на момент отправки формы.
It needs XML entry in the web.xml file & two simple classes.
java code :-
The code for the first class named CrossScriptingFilter.java is :
package com.filter;
import java.io.IOException;
import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import org.apache.log4j.Logger;
public class CrossScriptingFilter implements Filter {
private static Logger logger = Logger.getLogger(CrossScriptingFilter.class);
private FilterConfig filterConfig;
public void init(FilterConfig filterConfig) throws ServletException {
this.filterConfig = filterConfig;
}
public void destroy() {
this.filterConfig = null;
}
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException {
logger.info("Inlter CrossScriptingFilter ...............");
chain.doFilter(new RequestWrapper((HttpServletRequest) request), response);
logger.info("Outlter CrossScriptingFilter ...............");
}
}
Второй класс кода с именем RequestWrapper.java:
пакет com.filter;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import org.apache.log4j.Logger;
public final class RequestWrapper extends HttpServletRequestWrapper {
private static Logger logger = Logger.getLogger(RequestWrapper.class);
public RequestWrapper(HttpServletRequest servletRequest) {
super(servletRequest);
}
public String[] getParameterValues(String parameter) {
logger.info("InarameterValues .. parameter .......");
String[] values = super.getParameterValues(parameter);
if (values == null) {
return null;
}
int count = values.length;
String[] encodedValues = new String[count];
for (int i = 0; i < count; i++) {
encodedValues[i] = cleanXSS(values[i]);
}
return encodedValues;
}
public String getParameter(String parameter) {
logger.info("Inarameter .. parameter .......");
String value = super.getParameter(parameter);
if (value == null) {
return null;
}
logger.info("Inarameter RequestWrapper ........ value .......");
return cleanXSS(value);
}
public String getHeader(String name) {
logger.info("Ineader .. parameter .......");
String value = super.getHeader(name);
if (value == null)
return null;
logger.info("Ineader RequestWrapper ........... value ....");
return cleanXSS(value);
}
private String cleanXSS(String value) {
// You'll need to remove the spaces from the html entities below
logger.info("InnXSS RequestWrapper ..............." + value);
//value = value.replaceAll("<", "& lt;").replaceAll(">", "& gt;");
//value = value.replaceAll("\\(", "& #40;").replaceAll("\\)", "& #41;");
//value = value.replaceAll("'", "& #39;");
value = value.replaceAll("eval\\((.*)\\)", "");
value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");
value = value.replaceAll("(?i)<script.*?>.*?<script.*?>", "");
value = value.replaceAll("(?i)<script.*?>.*?</script.*?>", "");
value = value.replaceAll("(?i)<.*?javascript:.*?>.*?</.*?>", "");
value = value.replaceAll("(?i)<.*?\\s+on.*?>.*?</.*?>", "");
//value = value.replaceAll("<script>", "");
//value = value.replaceAll("</script>", "");
logger.info("OutnXSS RequestWrapper ........ value ......." + value);
return value;
}
Осталось только запись XML в файле web.xml:
<filter>
<filter-name>XSS</filter-name>
<display-name>XSS</display-name>
<description></description>
<filter-class>com.filter.CrossScriptingFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>XSS</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
Параметр /* указывает, что для каждого запроса, сделанного из браузера, он будет вызывать Класс CrossScriptingFilter. Который будет анализировать все компоненты/элементы, поступающие из запроса & заменит все теги javascript, помещенные хакером с пустой строкой i.e