Zapobieganie XSS w aplikacji internetowej JSP / Servlet

How-to-prevent-xss był pytany kilka razy. Wiele informacji znajdziesz w StackOverflow. Ponadto strona internetowa OWASP zawiera ściągawkę prewencyjną XSS , którą powinieneś przejść.

Na bibliotekach do wykorzystania, biblioteka ESAPI OWASP ma smak Javy. Powinieneś to wypróbować. Poza tym, każdy framework, którego używasz, ma pewną ochronę przed XSS. Ponownie strona OWASP zawiera informacje na temat najpopularniejszych frameworków, więc polecam przejrzeć miejscu.

Miałem wielkie szczęście z OWASP Anti-Samy i doradcą AspectJ na wszystkich moich kontrolerach sprężynowych, które blokują XSS przed wejściem.

public class UserInputSanitizer {

    private static Policy policy;
    private static AntiSamy antiSamy;

    private static AntiSamy getAntiSamy() throws PolicyException  {
        if (antiSamy == null) {
            policy = getPolicy("evocatus-default");
            antiSamy = new AntiSamy();
        }
        return antiSamy;

    }

    public static String sanitize(String input) {
        CleanResults cr;
        try {
            cr = getAntiSamy().scan(input, policy);
        } catch (Exception e) {
            throw new RuntimeException(e);
        }
        return cr.getCleanHTML();
    }

    private static Policy getPolicy(String name) throws PolicyException {
        Policy policy = 
            Policy.getInstance(Policy.class.getResourceAsStream("/META-INF/antisamy/" + name + ".xml"));
        return policy;
    }

}

Możesz uzyskać doradcę AspectJ z tego postu stackoverflow

Myślę, że jest to lepsze podejście niż c: out szczególnie, jeśli robisz dużo javascript.

Zarządzanie XSS wymaga wielu walidacji, danych od strony klienta.

1. walidacje wejściowe (Walidacja formularza) po stronie serwera. Istnieje wiele sposobów, aby to zrobić. Możesz spróbować JSR 303 bean validation(walidator hibernate) lub Esapi Input Validation framework. Chociaż sam tego nie próbowałem (jeszcze), istnieje adnotacja, która sprawdza Bezpieczny html (@SafeHtml) . W rzeczywistości można użyć walidatora Hibernate Z Spring MVC for bean walidacje - > Ref
2. żądania adresów URL - dla wszystkich żądań HTTP użyj pewnego rodzaju filtra XSS. Użyłem poniższej aplikacji internetowej i zajmuje się czyszczeniem żądania adresu URL HTTP- http://www.servletsuite.com/servlets/xssflt.htm
3. Dane wyjściowe / html zwrócone do klienta(patrz powyżej na Wyjaśnienie @ BalusC).

Sugerowałbym regularne testowanie luk w zabezpieczeniach za pomocą zautomatyzowanego narzędzia i naprawianie tego, co znajdzie. O wiele łatwiej jest zasugerować bibliotekę, która pomoże w konkretnej Luce, niż w przypadku wszystkich ataków XSS w ogóle.

Skipfish to narzędzie open source od Google, które badałem: znajduje sporo rzeczy i wydaje się warte użycia.

Nie ma łatwego, wyjmowanego z pudełka rozwiązania przeciwko XSS. API OWASP ESAPI ma pewne wsparcie dla ucieczki, które jest bardzo przydatne, i mają biblioteki znaczników.

Moim podejściem było zasadniczo rozszerzenie znaczników stuts 2 w następujący sposób.

1. zmodyfikuj znacznik s: property, aby mógł on przyjmować dodatkowe atrybuty określające, jaki rodzaj ucieczki jest wymagany (escapeHtmlAttribute="true" itd.). Wiąże się to z utworzeniem nowej właściwości i klas PropertyTag. Klasa właściwości używa OWASP ESAPI api dla ucieczki.
2. Zmień szablony freemarkera, aby użyć nowej wersji właściwości s: i ustaw ucieczki.

Jeśli nie chcesz modyfikować klas w kroku 1, innym rozwiązaniem byłoby zaimportowanie znaczników ESAPI do szablonów freemarkera i ucieczka w razie potrzeby. Następnie, jeśli chcesz użyć znacznika S:property w swoim JSP, owiń go tagiem i ESAPI.

Napisałem bardziej szczegółowe wyjaśnienie proszę.

Http://www.nutshellsoftware.org/software/securing-struts-2-using-esapi-part-1-securing-outputs/

Zgadzam się, że wyjście ucieczki nie jest idealne.

Moja osobista opinia jest taka, że powinieneś unikać używania stron JSP/ASP/PHP / etc. Zamiast tego wyjście do API podobnego do SAX (tylko przeznaczone do wywołania, a nie Obsługi). W ten sposób istnieje pojedyncza warstwa, która musi tworzyć dobrze uformowane wyjście.

Jeśli chcesz automatycznie uciec wszystkie zmienne JSP bez konieczności jawnego zawijania każdej zmiennej, możesz użyć rozdzielacza El Jak szczegółowo opisano tutaj z pełnym źródłem i przykładem (JSP 2.0 lub nowszy), i omówiono bardziej szczegółowo tutaj:

Na przykład, używając wyżej wymienionego rozdzielacza el, Twój kod JSP pozostanie taki sam, ale każda zmienna zostanie automatycznie uniknięta przez rozdzielacz

...
<c:forEach items="${orders}" var="item">
  <p>${item.name}</p>
  <p>${item.price}</p>
  <p>${item.description}</p>
</c:forEach>
...

Jeśli chcesz wymusić domyślnie ucieczkę w Spring, można to również rozważyć, ale to nie umyka el expressions, tylko Tag output, myślę, że:

Http://forum.springsource.org/showthread.php?61418-Spring-cross-site-scripting&p=205646#post205646

Uwaga: inne podejście do ucieczki EL, które wykorzystuje transformacje XSL do preprocesowania plików JSP, można znaleźć tutaj:

Http://therning.org/niklas/2007/09/preprocessing-jsp-files-to-automatically-escape-el-expressions/