常见Web安全漏洞--------XSS 攻击

1,XSS 攻击

XSS攻击使用Javascript脚本注入进行攻击

例如在提交表单后，展示到另一个页面，可能会受到XSS脚本注入，读取本地cookie远程发送给黑客服务器端。

<script>alert('sss')</script>

<script>window.location.href='http://www.itmayiedu.com';</script>

对应html源代码: &lt;script&gt;alert('sss')&lt;/script&gt;

因为浏览器默认支持脚本执行，提交表单时候，如果有脚本语言，可能就浏览器就直接执行了。

index.ftl:

<!DOCTYPE html>

<html>

<head lang="en">

<meta charset="UTF-8" />

<title></title>

</head>

<body>

<form action="postIndex" method="post">

        输入内容: <input type="text" name="name"> <br> <input

            type="submit">

    </form>

</body>

</html>

forward.ftl:

<!DOCTYPE html>

<html>

<head lang="en">

<meta charset="UTF-8" />

<title></title>

</head>

<body>

<form action="postIndex" method="post">

        输入内容: <input type="text" name="name"> <br> <input

            type="submit">

    </form>

</body>

</html>

controller:

@Controller

public class Index {

    @RequestMapping("/index")

    public String index() {

        return "index";

    }

    // 接受頁面 參數

    @RequestMapping("/postIndex")

    public String postIndex(HttpServletRequest request) {

        request.setAttribute("name", request.getParameter("name"));

        return "forward";

    }

}

当调用index 的方法，进入到index.ftl ,提交表单，进去到postIndex 的方法,找到forward 页面，页面渲染。

但是如果如果提交是脚本语言，可能就浏览器就直接执行了

解决方式：通过过滤器（拦截器），对请求进行拦截，然后对其中的参数中的特别字符进行特别转换成html 语言

例如：

重新封装HttpServletRequestWrapper，用来获取HttpServletRequest 请求的参数等

/**

 * 功能说明:

 * 功能作者:

 * 创建日期:

 * 版权归属:每特教育|蚂蚁课堂所有 www.itmayiedu.com

 */

package com.aiyuesheng.http;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletRequestWrapper;

import org.apache.commons.lang.StringEscapeUtils;

import org.apache.commons.lang.StringUtils;

public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {

    private HttpServletRequest request;

    /**

     * @param request

     */

    public XssHttpServletRequestWrapper(HttpServletRequest request) {

        super(request);

        this.request = request;

    }

    @Override

    public String getParameter(String name) {

        // 获取之前的参数

        String olValue = super.getParameter(name);

        System.out.print("原来参数:" + olValue);

        if (!StringUtils.isEmpty(olValue)) {

            olValue = StringEscapeUtils.escapeHtml(olValue);

            System.out.println("转换后" + olValue);

        }

        System.out.println();

        return olValue;

    }

}

过滤器：

package com.aiyuesheng.filter;

import java.io.IOException;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.annotation.WebFilter;

import javax.servlet.http.HttpServletRequest;

import com.aiyuesheng.http.XssHttpServletRequestWrapper;

@WebFilter(filterName = "xssFilter", urlPatterns = "/*")

public class XssFilter implements Filter {

    public void init(FilterConfig filterConfig) throws ServletException {

    }

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)

            throws IOException, ServletException {

        // 程序防止XSS攻击原理

        // 1. 使用过滤器拦截所有参数

        HttpServletRequest req = (HttpServletRequest) request;

        // 2.重新getParameter方法

        XssHttpServletRequestWrapper xssHttpServletRequestWrapper = new XssHttpServletRequestWrapper(req);

        // 放行程序，继续往下执行

        chain.doFilter(xssHttpServletRequestWrapper, response);

    }

    public void destroy() {

    }

}

启动类上加上@ServletComponentScan

在 SpringBootApplication 上使用@ServletComponentScan 注解后，Servlet、Filter、Listener 可以直接通过 @WebServlet、@WebFilter、@WebListener 注解自动注册，无需其他代码

import org.springframework.boot.SpringApplication;

import org.springframework.boot.autoconfigure.SpringBootApplication;

import org.springframework.boot.web.servlet.ServletComponentScan;

@SpringBootApplication

@ServletComponentScan

public class App {

    public static void main(String[] args) {

        SpringApplication.run(App.class, args);

    }

}

常见Web安全漏洞--------XSS 攻击的更多相关文章

【OWASP TOP10】2021年常见web安全漏洞TOP10排行
[2021]常见web安全漏洞TOP10排行应用程序安全风险攻击者可以通过应用程序中许多的不同的路径方式去危害企业业务.每种路径方法都代表了一种风险,这些风险都值得关注. 什么是 OWASP TO ...
安全学习笔记-web安全之XSS攻击
web安全之XSS攻击 XSS 即跨站脚本攻击,是 OWASP TOP10 之一.它的全称为 Cross-site scripting,因为 CSS 这个简称已经被占用表示为前端三剑客之一的CSS,所 ...
几个常见的漏洞(xss攻击 cookie未清除 nginx信息泄露)与处理方法
项目在安全检查中发现很多问题,要求整改,其中就有最常见的xss攻击漏洞描述渗透测试人员检测到网站筛选框均存在反射型跨站脚本攻击,例如: "><script>alert( ...
WEB安全测试之XSS攻击
目录结构 1.背景知识 2.XSS漏洞的分类 3.XSS防御 4.如何测试XSS漏洞 5.HTML Encode 6.浏览器中的XSS过滤器 7.ASP.NET中的XSS安全机制一.背景知识 1.什 ...
Web 安全之 XSS 攻击与防御
前言黑客,相信大家对这一名词并不陌生,黑客们往往会利用 Web 应用程序的漏洞来攻击咱们的系统.开放式 Web 应用程序安全项目(OWASP, Open Web Application Securi ...
常见Web安全漏洞
1.web安全常见攻击手段 xss sql注入防盗链 csrf 上传漏洞 2. 信息加密与漏洞扫描对称加密非对称加密 3. 互联网API接口安全设计 4. 网站安全漏洞扫描与 ...
记一次JAVA WEB项目解决XSS攻击的办法(亲测有效)
什么是XSS攻击简单来说,XSS 攻击是页面被注入了恶意的代码,度娘一大堆的东西,不想说系统架构主要是SSM框架,服务层另外使用了DubboX. 为啥说这个,因为SpringMVC对于Xss攻 ...
web安全之xss攻击
xss攻击的全称是Cross-Site Scripting (XSS)攻击,是一种注入式攻击.基本的做法是把恶意代码注入到目标网站.由于浏览器在打开目标网站的时候并不知道哪些脚本是恶意的,所以浏览器会 ...
web安全之XSS攻击原理及防范
阅读目录一:什么是XSS攻击? 二:反射型XSS 三:存储型XSS 四:DOM-based型XSS 五:SQL注入六:XSS如何防范? 1. cookie安全策略 2. X-XSS-Protect ...

随机推荐

LeetCode--链表3-经典问题
LeetCode--链表3-经典问题题1 反转链表第一次代码超出时间限制原因是,反转之后链表的尾部节点和头结点连上了 /** * Definition for singly-linked lis ...
聊一聊关于MySQL的count(*)
0.背景自从大家对于MySQL数据库的稳定性有了更高的追求后,经常有小伙伴有这样的疑问,对于count(*)这样的操作,有没有正确的姿势,或者有没有可以优化的地方? 但答案比较残酷,如果已经使用了正 ...
原本准备的 event loop 分享
基础介绍 Stack 栈一种先入后出的数据结构. 两个基本操作: 推入,弹出 Queue 队列一种先入先出的数据结构操作: 入队,出队两种任务: 同步任务,异步任务同步任务: 在调用栈中等待 ...
微信小程序转化为uni-app项目
前言: 之前自己做一个uni-app的项目的时候前端需要实现一个比较复杂的功能,但是由于自己前端抠脚的原因没有写出来,然后自己在网上搜索的时候发现了有个微信小程序里面的页面及其的符合我的需求.那么问题 ...
ES6语法:var、let、const的区别详解
今天来说说es6的语法,最基础的也就是var,let,const 的用法与区别了,我们来看看他们之间的恩怨情仇. 首先来说说var,这个只要是学过js的都知道,它是用来声明一个变量的,但是它在开发中也 ...
遍历Map的四种方式（Java）
public static void main(String[] args) { Map<String, String> map = new HashMap<String, Stri ...
通过nodejs实现文件的上传
通过nodejs实现文件的上传主要内容本文将用来讲述如何通过nodejs进行文件上传,将会涉及到以下知识点: 通过express模块进行服务器的搭建通过multer模块将上传的文件保存到指定目录 ...
lesson01
题目: Action3: 统计全班的成绩班里有5名同学,现在需要你用numpy来统计下这些人在语文.英语.数学中的平均成绩.最小成绩.最大成绩.方差.标准差.然后把这些人的总成绩排序,得出名次进行 ...
如何快速高效率地学习Go语言
要想快速高效率地掌握Go语言,关键是要通过不断写代码去训练,熟能生巧.方法是没问题的,但具体的路径呢?就像开车,能不能给个导航?我希望这篇文章能起到一个导航的作用,这里提供的路径,应该对很多人都适合. ...
《自拍教程46》Python_adb自动拍照100张
Android手机测试, 涉及照相机(Camera)应用程序的稳定性测试的用例, 需要涉及100张照片的拍照自动化测试. 准备阶段先清理老照片,照片一般存放在/scard/DCIM目录下 adb s ...

常见Web安全漏洞--------XSS 攻击

常见Web安全漏洞--------XSS 攻击的更多相关文章

随机推荐

热门专题