常见Web安全漏洞--------XSS 攻击

1,XSS 攻击

XSS攻击使用Javascript脚本注入进行攻击

例如在提交表单后，展示到另一个页面，可能会受到XSS脚本注入，读取本地cookie远程发送给黑客服务器端。

<script>alert('sss')</script>

<script>window.location.href='http://www.itmayiedu.com';</script>

对应html源代码: &lt;script&gt;alert('sss')&lt;/script&gt;

因为浏览器默认支持脚本执行，提交表单时候，如果有脚本语言，可能就浏览器就直接执行了。

index.ftl:

<!DOCTYPE html>

<html>

<head lang="en">

<meta charset="UTF-8" />

<title></title>

</head>

<body>

<form action="postIndex" method="post">

        输入内容: <input type="text" name="name"> <br> <input

            type="submit">

    </form>

</body>

</html>

forward.ftl:

<!DOCTYPE html>

<html>

<head lang="en">

<meta charset="UTF-8" />

<title></title>

</head>

<body>

<form action="postIndex" method="post">

        输入内容: <input type="text" name="name"> <br> <input

            type="submit">

    </form>

</body>

</html>

controller:

@Controller

public class Index {

    @RequestMapping("/index")

    public String index() {

        return "index";

    }

    // 接受頁面 參數

    @RequestMapping("/postIndex")

    public String postIndex(HttpServletRequest request) {

        request.setAttribute("name", request.getParameter("name"));

        return "forward";

    }

}

当调用index 的方法，进入到index.ftl ,提交表单，进去到postIndex 的方法,找到forward 页面，页面渲染。

但是如果如果提交是脚本语言，可能就浏览器就直接执行了

解决方式：通过过滤器（拦截器），对请求进行拦截，然后对其中的参数中的特别字符进行特别转换成html 语言

例如：

重新封装HttpServletRequestWrapper，用来获取HttpServletRequest 请求的参数等

/**

 * 功能说明:

 * 功能作者:

 * 创建日期:

 * 版权归属:每特教育|蚂蚁课堂所有 www.itmayiedu.com

 */

package com.aiyuesheng.http;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletRequestWrapper;

import org.apache.commons.lang.StringEscapeUtils;

import org.apache.commons.lang.StringUtils;

public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {

    private HttpServletRequest request;

    /**

     * @param request

     */

    public XssHttpServletRequestWrapper(HttpServletRequest request) {

        super(request);

        this.request = request;

    }

    @Override

    public String getParameter(String name) {

        // 获取之前的参数

        String olValue = super.getParameter(name);

        System.out.print("原来参数:" + olValue);

        if (!StringUtils.isEmpty(olValue)) {

            olValue = StringEscapeUtils.escapeHtml(olValue);

            System.out.println("转换后" + olValue);

        }

        System.out.println();

        return olValue;

    }

}

过滤器：

package com.aiyuesheng.filter;

import java.io.IOException;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.annotation.WebFilter;

import javax.servlet.http.HttpServletRequest;

import com.aiyuesheng.http.XssHttpServletRequestWrapper;

@WebFilter(filterName = "xssFilter", urlPatterns = "/*")

public class XssFilter implements Filter {

    public void init(FilterConfig filterConfig) throws ServletException {

    }

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)

            throws IOException, ServletException {

        // 程序防止XSS攻击原理

        // 1. 使用过滤器拦截所有参数

        HttpServletRequest req = (HttpServletRequest) request;

        // 2.重新getParameter方法

        XssHttpServletRequestWrapper xssHttpServletRequestWrapper = new XssHttpServletRequestWrapper(req);

        // 放行程序，继续往下执行

        chain.doFilter(xssHttpServletRequestWrapper, response);

    }

    public void destroy() {

    }

}

启动类上加上@ServletComponentScan

在 SpringBootApplication 上使用@ServletComponentScan 注解后，Servlet、Filter、Listener 可以直接通过 @WebServlet、@WebFilter、@WebListener 注解自动注册，无需其他代码

import org.springframework.boot.SpringApplication;

import org.springframework.boot.autoconfigure.SpringBootApplication;

import org.springframework.boot.web.servlet.ServletComponentScan;

@SpringBootApplication

@ServletComponentScan

public class App {

    public static void main(String[] args) {

        SpringApplication.run(App.class, args);

    }

}

常见Web安全漏洞--------XSS 攻击的更多相关文章

【OWASP TOP10】2021年常见web安全漏洞TOP10排行
[2021]常见web安全漏洞TOP10排行应用程序安全风险攻击者可以通过应用程序中许多的不同的路径方式去危害企业业务.每种路径方法都代表了一种风险,这些风险都值得关注. 什么是 OWASP TO ...
安全学习笔记-web安全之XSS攻击
web安全之XSS攻击 XSS 即跨站脚本攻击,是 OWASP TOP10 之一.它的全称为 Cross-site scripting,因为 CSS 这个简称已经被占用表示为前端三剑客之一的CSS,所 ...
几个常见的漏洞(xss攻击 cookie未清除 nginx信息泄露)与处理方法
项目在安全检查中发现很多问题,要求整改,其中就有最常见的xss攻击漏洞描述渗透测试人员检测到网站筛选框均存在反射型跨站脚本攻击,例如: "><script>alert( ...
WEB安全测试之XSS攻击
目录结构 1.背景知识 2.XSS漏洞的分类 3.XSS防御 4.如何测试XSS漏洞 5.HTML Encode 6.浏览器中的XSS过滤器 7.ASP.NET中的XSS安全机制一.背景知识 1.什 ...
Web 安全之 XSS 攻击与防御
前言黑客,相信大家对这一名词并不陌生,黑客们往往会利用 Web 应用程序的漏洞来攻击咱们的系统.开放式 Web 应用程序安全项目(OWASP, Open Web Application Securi ...
常见Web安全漏洞
1.web安全常见攻击手段 xss sql注入防盗链 csrf 上传漏洞 2. 信息加密与漏洞扫描对称加密非对称加密 3. 互联网API接口安全设计 4. 网站安全漏洞扫描与 ...
记一次JAVA WEB项目解决XSS攻击的办法(亲测有效)
什么是XSS攻击简单来说,XSS 攻击是页面被注入了恶意的代码,度娘一大堆的东西,不想说系统架构主要是SSM框架,服务层另外使用了DubboX. 为啥说这个,因为SpringMVC对于Xss攻 ...
web安全之xss攻击
xss攻击的全称是Cross-Site Scripting (XSS)攻击,是一种注入式攻击.基本的做法是把恶意代码注入到目标网站.由于浏览器在打开目标网站的时候并不知道哪些脚本是恶意的,所以浏览器会 ...
web安全之XSS攻击原理及防范
阅读目录一:什么是XSS攻击? 二:反射型XSS 三:存储型XSS 四:DOM-based型XSS 五:SQL注入六:XSS如何防范? 1. cookie安全策略 2. X-XSS-Protect ...

随机推荐

SpringBoot一些基础配置
定制banner Spring Boot项目在启动的时候会有一个默认的启动图案: . ____ _ __ _ _ /\\ / ___'_ __ _ _(_)_ __ __ _ \ \ \ \ ( ( ...
kafka知识整理
title: kafka知识整理 date: 2019-06-18 10:59:46 categories: MQ tags: kafka --- 转载自:https://www.cnblogs.co ...
原型模式故事链(3)--JS的数据类型、以及区别、区分、转化
上一章--原型链讲解:传送门:https://segmentfault.com/a/11... 在上一章讲解原型链时提到了:所有的引用类型都有一个_proto_属性,称之为隐式原型.那么引用类型是什么 ...
post请求与get请求的差别
幂等的概念在理解这两者的区别前需要先了解的概念: 幂等性在编程中一个幂等操作的特点是其任意多次执行所产生的影响均与一次执行的影响相同.简单的说就是,浏览器发起一次请求和多次请求,不会改变目标资源的状 ...
JS基础入门篇（十二）—JSON和Math
1.JSON JSON: 对象格式的字符串轻量的数据传输格式注意事项: 键名需要使用双引号包起来 JOSN有两个方法:JSON.parse和 JSON.stringify. JSON.pa ...
python学习（二）之turtle库绘图
今天是三月七号,也就是女生节,或者女神节.不知道你是不是有自己喜欢的女孩子,在这里你可以用turtle库绘制一朵玫瑰花,送给你喜欢的姑娘.(拉到最后有惊喜哦)但在画这朵玫瑰花之前,先来一个基础的图形, ...
编程老司机带你玩转 CompletableFuture 异步编程
本文从实例出发,介绍 CompletableFuture 基本用法.不过讲的再多,不如亲自上手练习一下.所以建议各位小伙伴看完,上机练习一把,快速掌握 CompletableFuture. 个人博文地 ...
iview必备技能一、表单验证规则
iView表单组件使用async-validator验证器对表单域中数据进行验证,给Form 设置属性 rules,同时给需要验证的 FormItem 设置属性 prop 指向对应字段即可. 完整的验 ...
vue 项目总结，以及对未来的理解，对性能方面的认知
之前自己写了一个vue项目,因为没有经验,所以很多方面的提升做的不好,比如说路由.比如说ajax都没有封装,比如说业务逻辑和通用逻辑都混合在一起,导致大片大片重复的代码累积.忽悠忽悠没入门的前端感觉还 ...
WEB渗透 - XSS
听说这个时间点是人类这种生物很重要的一个节点 cross-site scripting 跨站脚本漏洞类型存储型(持久) 反射型(非持久) DOM型利用先检测,看我们输入的内容是否有返回以及有无 ...

常见Web安全漏洞--------XSS 攻击

常见Web安全漏洞--------XSS 攻击的更多相关文章

随机推荐

热门专题