常见Web安全漏洞--------XSS 攻击

1,XSS 攻击

XSS攻击使用Javascript脚本注入进行攻击

例如在提交表单后，展示到另一个页面，可能会受到XSS脚本注入，读取本地cookie远程发送给黑客服务器端。

<script>alert('sss')</script>

<script>window.location.href='http://www.itmayiedu.com';</script>

对应html源代码: &lt;script&gt;alert('sss')&lt;/script&gt;

因为浏览器默认支持脚本执行，提交表单时候，如果有脚本语言，可能就浏览器就直接执行了。

index.ftl:

<!DOCTYPE html>

<html>

<head lang="en">

<meta charset="UTF-8" />

<title></title>

</head>

<body>

<form action="postIndex" method="post">

        输入内容: <input type="text" name="name"> <br> <input

            type="submit">

    </form>

</body>

</html>

forward.ftl:

<!DOCTYPE html>

<html>

<head lang="en">

<meta charset="UTF-8" />

<title></title>

</head>

<body>

<form action="postIndex" method="post">

        输入内容: <input type="text" name="name"> <br> <input

            type="submit">

    </form>

</body>

</html>

controller:

@Controller

public class Index {

    @RequestMapping("/index")

    public String index() {

        return "index";

    }

    // 接受頁面 參數

    @RequestMapping("/postIndex")

    public String postIndex(HttpServletRequest request) {

        request.setAttribute("name", request.getParameter("name"));

        return "forward";

    }

}

当调用index 的方法，进入到index.ftl ,提交表单，进去到postIndex 的方法,找到forward 页面，页面渲染。

但是如果如果提交是脚本语言，可能就浏览器就直接执行了

解决方式：通过过滤器（拦截器），对请求进行拦截，然后对其中的参数中的特别字符进行特别转换成html 语言

例如：

重新封装HttpServletRequestWrapper，用来获取HttpServletRequest 请求的参数等

/**

 * 功能说明:

 * 功能作者:

 * 创建日期:

 * 版权归属:每特教育|蚂蚁课堂所有 www.itmayiedu.com

 */

package com.aiyuesheng.http;

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletRequestWrapper;

import org.apache.commons.lang.StringEscapeUtils;

import org.apache.commons.lang.StringUtils;

public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {

    private HttpServletRequest request;

    /**

     * @param request

     */

    public XssHttpServletRequestWrapper(HttpServletRequest request) {

        super(request);

        this.request = request;

    }

    @Override

    public String getParameter(String name) {

        // 获取之前的参数

        String olValue = super.getParameter(name);

        System.out.print("原来参数:" + olValue);

        if (!StringUtils.isEmpty(olValue)) {

            olValue = StringEscapeUtils.escapeHtml(olValue);

            System.out.println("转换后" + olValue);

        }

        System.out.println();

        return olValue;

    }

}

过滤器：

package com.aiyuesheng.filter;

import java.io.IOException;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.annotation.WebFilter;

import javax.servlet.http.HttpServletRequest;

import com.aiyuesheng.http.XssHttpServletRequestWrapper;

@WebFilter(filterName = "xssFilter", urlPatterns = "/*")

public class XssFilter implements Filter {

    public void init(FilterConfig filterConfig) throws ServletException {

    }

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)

            throws IOException, ServletException {

        // 程序防止XSS攻击原理

        // 1. 使用过滤器拦截所有参数

        HttpServletRequest req = (HttpServletRequest) request;

        // 2.重新getParameter方法

        XssHttpServletRequestWrapper xssHttpServletRequestWrapper = new XssHttpServletRequestWrapper(req);

        // 放行程序，继续往下执行

        chain.doFilter(xssHttpServletRequestWrapper, response);

    }

    public void destroy() {

    }

}

启动类上加上@ServletComponentScan

在 SpringBootApplication 上使用@ServletComponentScan 注解后，Servlet、Filter、Listener 可以直接通过 @WebServlet、@WebFilter、@WebListener 注解自动注册，无需其他代码

import org.springframework.boot.SpringApplication;

import org.springframework.boot.autoconfigure.SpringBootApplication;

import org.springframework.boot.web.servlet.ServletComponentScan;

@SpringBootApplication

@ServletComponentScan

public class App {

    public static void main(String[] args) {

        SpringApplication.run(App.class, args);

    }

}

常见Web安全漏洞--------XSS 攻击的更多相关文章

【OWASP TOP10】2021年常见web安全漏洞TOP10排行
[2021]常见web安全漏洞TOP10排行应用程序安全风险攻击者可以通过应用程序中许多的不同的路径方式去危害企业业务.每种路径方法都代表了一种风险,这些风险都值得关注. 什么是 OWASP TO ...
安全学习笔记-web安全之XSS攻击
web安全之XSS攻击 XSS 即跨站脚本攻击,是 OWASP TOP10 之一.它的全称为 Cross-site scripting,因为 CSS 这个简称已经被占用表示为前端三剑客之一的CSS,所 ...
几个常见的漏洞(xss攻击 cookie未清除 nginx信息泄露)与处理方法
项目在安全检查中发现很多问题,要求整改,其中就有最常见的xss攻击漏洞描述渗透测试人员检测到网站筛选框均存在反射型跨站脚本攻击,例如: "><script>alert( ...
WEB安全测试之XSS攻击
目录结构 1.背景知识 2.XSS漏洞的分类 3.XSS防御 4.如何测试XSS漏洞 5.HTML Encode 6.浏览器中的XSS过滤器 7.ASP.NET中的XSS安全机制一.背景知识 1.什 ...
Web 安全之 XSS 攻击与防御
前言黑客,相信大家对这一名词并不陌生,黑客们往往会利用 Web 应用程序的漏洞来攻击咱们的系统.开放式 Web 应用程序安全项目(OWASP, Open Web Application Securi ...
常见Web安全漏洞
1.web安全常见攻击手段 xss sql注入防盗链 csrf 上传漏洞 2. 信息加密与漏洞扫描对称加密非对称加密 3. 互联网API接口安全设计 4. 网站安全漏洞扫描与 ...
记一次JAVA WEB项目解决XSS攻击的办法(亲测有效)
什么是XSS攻击简单来说,XSS 攻击是页面被注入了恶意的代码,度娘一大堆的东西,不想说系统架构主要是SSM框架,服务层另外使用了DubboX. 为啥说这个,因为SpringMVC对于Xss攻 ...
web安全之xss攻击
xss攻击的全称是Cross-Site Scripting (XSS)攻击,是一种注入式攻击.基本的做法是把恶意代码注入到目标网站.由于浏览器在打开目标网站的时候并不知道哪些脚本是恶意的,所以浏览器会 ...
web安全之XSS攻击原理及防范
阅读目录一:什么是XSS攻击? 二:反射型XSS 三:存储型XSS 四:DOM-based型XSS 五:SQL注入六:XSS如何防范? 1. cookie安全策略 2. X-XSS-Protect ...

随机推荐

vue移动端字体大小设置
const setRemUnit = () => { const docEl = document.documentElement; // IPhone6下750像素来设计,实际像素375px, ...
ajax的post提交序列化json参数
再一次项目中,很常见的就是我的前端需要异步进行和后端交互 ,然而需要携带一些参数过去,并且参数类型是json 怎么办呢? 这个时候我们就需要进行参数序列化很简单就两句话如下图我们看 JSON, ...
NSFileHandle的用法（用于读写文件）
利用NSFilehandle类提供的方法,允许更有效地使用文件. 一般而言,处理文件时都要经历以下三个步骤: 1.打开文件,并获取一个NSFileHandle对象,以便在后面的I/O操作中引用该文件 ...
CentOS7系统更换软件安装源
1.备份你的原镜像文件,以免出错后可以恢复. cp /etc/yum.repos.d/CentOS-Base.repo{,.backup} # 或者 mv /etc/yum.repos.d/CentO ...
POJ 1065 & ZOJ 1025
#include <cstdio> #include <iostream> #include <algorithm> #include <cstring> ...
用shell脚本实现定时备份数据库
1.备份数据库的方法可以使用命令查看 ls /usr/local/mysql/bin 这个mysqldump就是系统内置的用来备份数据库的工具. 2.实现方法 ①先随便进入一个位置创建一个目录 ② ...
.NET实现一个简单的IOC容器
目录 1.主要细节 2.具体示例参考及示例代码下载 shanzm-2020年3月17日 20:06:01 1.主要细节使用反射程序集的方式获取对象的类型通过反射的方式获取指定类型的的所有公共属性 ...
Ubuntu 18 安装 cuda 10
1.把预先下好的cuda放到某个目录,如Download. 2.Crtl + Alt + F3 进入tty,使用tty登录. 关闭用户图形界面,sudo systemctl set-default m ...
原生Canvas循环滚动弹幕（现金红包活动带头像弹幕）
效果 gif有些糊,可以在线预览实现关键点 requestAnimationFrame 循环帧: 绘制单条弹幕,画框子 -> 画头像 -> 写黑色的字 -> 写红色的字, mea ...
代码备份 | 博客侧边栏公告（支持HTML代码）（支持JS代码）
博客侧边栏公告(支持HTML代码)(支持JS代码) <div id='btnList'> <a class="ivu-btn ivu-btn-primary" h ...

常见Web安全漏洞--------XSS 攻击

常见Web安全漏洞--------XSS 攻击的更多相关文章

随机推荐

热门专题