Java如何防止xss攻擊

本篇文章為大家展示了Java如何防止xss攻擊，內容簡明扼要并且容易理解，絕對能使你眼前一亮，通過這篇文章的詳細介紹希望你能有所收獲。

跨站腳本（英語：Cross-site scripting，通常簡稱為：XSS）是一種網站應用程序的安全漏洞攻擊，是代碼注入的一種。它允許惡意用戶將代碼注入到網頁上，其他用戶在觀看網頁時就會受到影響。這類攻擊通常包含了HTML以及用戶端腳本語言。

XSS攻擊通常指的是通過利用網頁開發時留下的漏洞，通過巧妙的方法注入惡意指令代碼到網頁，使用戶加載并執行攻擊者惡意制造的網頁程序。這些惡意網頁程序通常是JavaScript，但實際上也可以包括Java，VBScript，ActiveX，Flash或者甚至是普通的HTML。攻擊成功后，攻擊者可能得到更高的權限（如執行一些操作）、私密網頁內容、會話和cookie等各種內容。

背景和現狀

當網景（Netscape）最初推出JavaScript語言時，他們也察覺到準許網頁服務器發送可執行的代碼給一個瀏覽器的安全風險（即使僅是在一個瀏覽器的沙盒里）。它所造成的一個關鍵的問題在于用戶同時打開多個瀏覽器視窗時，在某些例子里，網頁里的片斷代碼被允許從另一個網頁或對象取出數據，而因為惡意的網站可以用這個方法來嘗試竊取機密信息，所以在某些情形，這應是完全被禁止的。為了解決這個問題，瀏覽器采用了同源決策——僅允許來自相同域名系統和使用相同協議的對象與網頁之間的任何交互。這樣一來，惡意的網站便無法借由JavaScript在另一個瀏覽器竊取機密數據。此后，為了保護用戶免受惡意的危害，其他的瀏覽器與伺服端指令語言采用了類似的訪問控制決策。

XSS漏洞可以追溯到1990年代。大量的網站曾遭受XSS漏洞攻擊或被發現此類漏洞，如Twitter[1]，Facebook[2]，MySpace，Orkut[3][4],新浪微博[5]和百度貼吧。研究表明[6]，最近幾年XSS已經超過緩沖區溢出成為最流行的攻擊方式，有68%的網站可能遭受此類攻擊。根據開放網頁應用安全計劃（Open Web Application Security Project）公布的2010年統計數據，在Web安全威脅前10位中，XSS排名第2，僅次于代碼注入（Injection）。[7]

檢測方法

通常有一些方式可以測試網站是否有正確處理特殊字符：

<script>alert(document.cookie)</script><script>alert(document.cookie)</script><script>alert(document.cookie)</script><script>alert(document.cookie)</script><script>alert (vulnerable)</script>%3Cscript%3Ealert('XSS')%3C/script%3E<script>alert('XSS')</script><img src="javascript:alert('XSS')"><img src="https://cache.yisu.com/upload/information/20201211/272/48442.png" onerror="alert('XSS')"><p ></p>（這個僅于IE7(含)之前有效）

攻擊手段和目的

攻擊者使被攻擊者在瀏覽器中執行腳本后，如果需要收集來自被攻擊者的數據（如cookie或其他敏感信息），可以自行架設一個網站，讓被攻擊者通過JavaScript等方式把收集好的數據作為參數提交，隨后以數據庫等形式記錄在攻擊者自己的服務器上。

常用的XSS攻擊手段和目的有：

盜用cookie，獲取敏感信息。利用植入Flash，通過crossdomain權限設置進一步獲取更高權限；或者利用Java等得到類似的操作。利用iframe、frame、XMLHttpRequest或上述Flash等方式，以（被攻擊）用戶的身份執行一些管理動作，或執行一些一般的如發微博、加好友、發私信等操作。利用可被攻擊的域受到其他域信任的特點，以受信任來源的身份請求一些平時不允許的操作，如進行不當的投票活動。在訪問量極大的一些頁面上的XSS可以攻擊一些小型網站，實現DDoS攻擊的效果。漏洞的防御和利用

過濾特殊字符

避免XSS的方法之一主要是將用戶所提供的內容進行過濾，許多語言都有提供對HTML的過濾：

PHP的htmlentities()或是htmlspecialchars()。Python的cgi.escape()。ASP的Server.HTMLEncode()。ASP.NET的Server.HtmlEncode()或功能更強的Microsoft Anti-Cross Site Scripting LibraryJava的xssprotect (Open Source Library)。（https://code.google.com/archive/p/xssprotect/）Node.js的node-validator。

使用HTTP頭指定類型

很多時候可以使用HTTP頭指定內容的類型，使得輸出的內容避免被作為HTML解析。如在PHP語言中使用以下代碼：

<?phpheader('Content-Type: text/javascript; charset=utf-8');?>

即可強行指定輸出內容為文本/JavaScript腳本（順便指定了內容編碼），而非可以引發攻擊的HTML。

用戶方面

包括Internet Explorer、Mozilla Firefox在內的大多數瀏覽器皆有關閉JavaScript的選項，但關閉功能并非是最好的方法，因為許多網站都需要使用JavaScript語言才能正常運作。通常來說，一個經常有安全更新推出的瀏覽器，在使用上會比很久都沒有更新的瀏覽器更為安全。

解決提供兩個思路

1.使用過濾器過濾輸入字符，然后做相應處理。

處理方式：

一種是保留語意，將輸入的特殊字符轉譯存儲到數據庫，壞處是對數據庫或文件系統產生一些不必要的垃圾信息。

一種是過濾掉特殊字符，只保留正常數據，但是有些時候用戶需要輸入特殊字符，這樣不能保證數據原始性。

一種是不讓輸入，返回異常值。

以上都可以自行進行特殊處理，這里只提供些思路，怎么處理可以根據需求自己選擇

過濾器web.xml:

<filter><filter-name>XSSFilter</filter-name><filter-class>com.***.web.filter.XSSFilter</filter-class></filter><filter-mapping><filter-name>XSSFilter</filter-name><url-pattern>/*</url-pattern><dispatcher>REQUEST</dispatcher> </filter-mapping>

過濾器：

import java.io.IOException; import javax.servlet.Filter;import javax.servlet.FilterChain;import javax.servlet.FilterConfig;import javax.servlet.ServletException;import javax.servlet.ServletRequest;import javax.servlet.ServletResponse;import javax.servlet.http.HttpServletRequest; public class XSSFilter implements Filter { FilterConfig filterConfig = null; @Overridepublic void init(FilterConfig filterConfig) throws ServletException {this.filterConfig = filterConfig;} @Overridepublic void destroy() {this.filterConfig = null;} @Overridepublic void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {chain.doFilter(new XSSRequestWrapper((HttpServletRequest) request), response);} }

第一種過濾器： 使用commons-lang3-3.1.jar包的 org.apache.commons.lang3.StringEscapeUtils工具類對特殊字符進行轉譯。 Example:

import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletRequestWrapper; import org.apache.commons.lang3.StringEscapeUtils; public class XSSRequestWrapper extends HttpServletRequestWrapper { public XSSRequestWrapper(HttpServletRequest servletRequest) {super(servletRequest);} @Overridepublic String getHeader(String name) {return StringEscapeUtils.escapeHtml4(super.getHeader(name));} @Overridepublic String getQueryString() {return StringEscapeUtils.escapeHtml4(super.getQueryString());} @Overridepublic String getParameter(String name) {return StringEscapeUtils.escapeHtml4(super.getParameter(name));} @Overridepublic String[] getParameterValues(String name) {String[] values = super.getParameterValues(name);if (values != null) {int length = values.length;String[] escapseValues = new String[length];for (int i = 0; i < length; i++) {escapseValues[i] = StringEscapeUtils.escapeHtml4(values[i]);}return escapseValues;}return super.getParameterValues(name);}}

第二種過濾器：自己通過正則表達式手寫過濾，轉譯或者消除特殊字符。

Example:

import java.util.regex.Pattern; import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletRequestWrapper; public class XSSRequestWrapper extends HttpServletRequestWrapper { public XSSRequestWrapper(HttpServletRequest servletRequest) {super(servletRequest);} @Overridepublic String[] getParameterValues(String parameter) {String[] values = super.getParameterValues(parameter); if (values == null) {return null;} int count = values.length;String[] encodedValues = new String[count];for (int i = 0; i < count; i++) {encodedValues[i] = stripXSS(values[i]);} return encodedValues;} @Overridepublic String getParameter(String parameter) {String value = super.getParameter(parameter); return stripXSS(value);} @Overridepublic String getHeader(String name) {String value = super.getHeader(name);return stripXSS(value);} private String stripXSS(String value) {if (value != null) {// Avoid null charactersvalue = value.replaceAll("", ""); // Avoid anything between script tagsPattern scriptPattern = Pattern.compile("<script>(.*?)</script>", Pattern.CASE_INSENSITIVE);value = scriptPattern.matcher(value).replaceAll(""); // Avoid anything in a src='...' type of e&shy;xpressionscriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\'(.*?)\\\'",Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);value = scriptPattern.matcher(value).replaceAll(""); scriptPattern = Pattern.compile("src[\r\n]*=[\r\n]*\\\"(.*?)\\\"",Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);value = scriptPattern.matcher(value).replaceAll(""); // Remove any lonesome </script> tagscriptPattern = Pattern.compile("</script>", Pattern.CASE_INSENSITIVE);value = scriptPattern.matcher(value).replaceAll(""); // Remove any lonesome <script ...> tagscriptPattern = Pattern.compile("<script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);value = scriptPattern.matcher(value).replaceAll(""); // Avoid eval(...) e&shy;xpressionsscriptPattern = Pattern.compile("eval\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);value = scriptPattern.matcher(value).replaceAll(""); // Avoid e&shy;xpression(...) e&shy;xpressionsscriptPattern = Pattern.compile("e&shy;xpression\\((.*?)\\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);value = scriptPattern.matcher(value).replaceAll(""); // Avoid javascript:... e&shy;xpressionsscriptPattern = Pattern.compile("javascript:", Pattern.CASE_INSENSITIVE);value = scriptPattern.matcher(value).replaceAll(""); // Avoid vbscript:... e&shy;xpressionsscriptPattern = Pattern.compile("vbscript:", Pattern.CASE_INSENSITIVE);value = scriptPattern.matcher(value).replaceAll(""); // Avoid οnlοad= e&shy;xpressionsscriptPattern = Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);value = scriptPattern.matcher(value).replaceAll("");}return value;}}

第三種過濾器： 使用工具類xssProtect，項目中需要引入 xssProtect-0.1.jar、antlr-3.0.1.jar、antlr-runtime-3.0.1.jar 等3個 jar 包。具體實現沒有試驗，可以參考下這個：http://liuzidong.iteye.com/blog/1744023

用maven管理jar包的話，pom.xml如下:

<!-- https://mvnrepository.com/artifact/org.antlr/antlr --><dependency> <groupId>org.antlr</groupId> <artifactId>antlr</artifactId> <version>3.0.1</version></dependency> <!-- https://mvnrepository.com/artifact/org.antlr/antlr-runtime --><dependency> <groupId>org.antlr</groupId> <artifactId>antlr-runtime</artifactId> <version>3.0.1</version></dependency>

2.第二種思路就是輸入不管他，只在顯示的時候，進行轉譯，可以用過濾器或者自行解決。

如果頁面的展示大部分都在bootstrap表單里，那么bootstrap的自帶屬性就可以解決：

escape: true,// 是否轉義 默認 為false

個別可以自己在寫方法轉譯，例如：

var escapeHTML = function (text) {  if (typeof text === 'string') {   return text    .replace(/&/g, '&')    .replace(/</g, '<')    .replace(/>/g, '>')    .replace(/"/g, '"')    .replace(/'/g, ''')    .replace(/`/g, '&#x60;');  }  return text; };

上述內容就是Java如何防止xss攻擊，你們學到知識或技能了嗎？如果還想學到更多技能或者豐富自己的知識儲備，歡迎關注億速云行業資訊頻道。