Web安全之XSS跨站脚本攻击：如何预防及解决

news2024/12/29 8:18:41

1. 什么是XSS注入

XSS（跨站脚本攻击，Cross-Site Scripting）是一种常见的Web安全漏洞，通过注入恶意代码（通常是JavaScript）到目标网站的网页中，以此在用户浏览网页时执行。攻击者可以通过XSS获取用户的敏感信息（如Cookie、会话令牌）或控制用户浏览器的行为，进而造成信息泄露、身份冒用等严重后果。

2. XSS攻击类型

2.1 存储型XSS

存储型XSS 是指攻击者通过输入恶意脚本，存储在服务器端的数据库中。当其他用户从数据库中读取数据时，恶意脚本被执行。

案例示例： 假设一个电商系统允许用户在其个人资料中输入“个人简介”：

<form action="/updateProfile" method="POST">
    <textarea name="bio" placeholder="Enter your bio"></textarea>
    <button type="submit">Update</button>
</form>

用户提交的个人简介数据被存储在数据库中。如果用户输入恶意脚本：

<script>alert('This is a stored XSS attack');</script>

当其他用户访问该用户的个人资料页面时，这段脚本会被执行。代码如下：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>User Profile</title>
</head>
<body>
    <h1>User Profile</h1>
    <div id="bio">
        <!-- User's bio is rendered here -->
    </div>
</body>
</html>

在这个例子中，bio内容直接插入到HTML中，导致脚本被执行。

防护措施：

  • 对用户输入进行HTML转义。
  • 在用户输入内容之前使用输入验证机制。
  • 使用内容安全策略（CSP）来限制执行的脚本来源。

2.2 反射型XSS

反射型XSS 是指攻击者通过构造恶意URL，将其发送给用户。当用户点击这个URL时，恶意脚本被执行。攻击者利用URL中的参数直接在页面上插入恶意代码。

案例示例： 假设电商系统有一个搜索功能，用户可以通过URL中的查询参数来搜索商品：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Search</title>
</head>
<body>
    <h2>Search Results for: <span id="search"></span></h2>
    <script>
        // 从URL中获取查询参数
        var searchQuery = new URLSearchParams(window.location.search).get('q');
        // 直接插入到HTML中
        document.getElementById('search').innerHTML = searchQuery;
    </script>
</body>
</html>

如果攻击者通过如下链接引导用户：

http://example.com/search?q=<script>alert('This is a reflected XSS attack');</script>

该脚本会在页面上执行。

防护措施：

  • 对所有动态插入到HTML中的内容进行HTML编码。
  • 使用安全的API进行参数插入，如 textContent 替代 innerHTML。

2.3 基于DOM的XSS

基于DOM的XSS 是指攻击者通过操控客户端JavaScript，使得恶意脚本被执行。这种攻击不依赖于服务器端，而是通过修改浏览器中运行的JavaScript来实现。

案例示例： 假设电商系统的用户可以通过URL中的查询参数进行商品筛选：

<!DOCTYPE html>
<html lang="en">
<head>
    <meta charset="UTF-8">
    <title>Filter Products</title>
</head>
<body>
    <h2>Filter Results for: <span id="filter"></span></h2>
    <script>
        // 从URL中获取筛选参数
        var filterQuery = new URLSearchParams(window.location.search).get('filter');
        // 直接插入到HTML中
        document.getElementById('filter').innerHTML = filterQuery;
    </script>
</body>
</html>

如果攻击者通过如下链接引导用户：

http://example.com/filter?filter=<img src=x onerror=alert('This is a DOM-based XSS attack')>

该脚本会在页面上执行，利用图像加载失败的事件触发XSS攻击。

防护措施：

  • 使用适当的JavaScript编码函数，如 textContent 替代 innerHTML。
  • 使用现有的库或工具进行XSS防护。
  • 实施内容安全策略（CSP）来限制页面上可执行的脚本。

3. 常见XSS安全问题

3.1 用户输入未经过滤或转义

XSS的根本原因是服务器未对用户输入进行过滤或转义，导致恶意脚本直接在页面中执行。

3.2 动态生成HTML内容

在Java中，动态生成HTML时，如果直接将用户输入嵌入到HTML片段中，而没有进行任何转义，极易造成XSS漏洞。

3.3 在客户端过滤而非服务器端过滤

有些开发者试图通过客户端JavaScript来过滤恶意输入，这是一种非常不安全的做法，因为攻击者可以绕过客户端检查。

4. XSS防护方案

4.1 输入过滤

服务器端应严格过滤用户输入，去除或转义所有不安全的字符。可以通过白名单的方式，确保只允许合法的字符输入。

代码示例：

public String filterInput(String input) {
    return input.replaceAll("[<>]", ""); // 简单的过滤示例
}

4.2 输出编码

对所有动态生成的HTML内容进行输出编码，可以使用HtmlUtils.htmlEscape()或第三方库，如OWASP Java Encoder。

代码示例：

String safeContent = HtmlUtils.htmlEscape(userInput);

4.3 配置 Spring Security 的 HTTP 头部

CSP是一种浏览器安全机制，通过限制页面中可以执行的脚本，进一步防止XSS攻击。可以在HTTP响应头中配置CSP策略。

Spring Security 提供了对安全头部的支持，可以增强 XSS 防护，尤其是通过启用 Content-Security-Policy（CSP） 和 X-XSS-Protection 等 HTTP 头部。

你可以在 HttpSecurity 中配置安全头部来减少 XSS 攻击的风险：

import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.web.SecurityFilterChain;
import org.springframework.context.annotation.Bean;

@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
            .headers()
                // 启用X-XSS-Protection头部，阻止浏览器加载XSS攻击的页面
                .xssProtection()
                .block(true)
                .and()
                // 启用Content-Security-Policy头部，指定允许的内容源
                .contentSecurityPolicy("script-src 'self'; object-src 'none';");

        http
            .authorizeRequests()
                .anyRequest().authenticated();

        return http.build();
    }
}
  • X-XSS-Protection 头部：启用浏览器的 XSS 过滤机制（注意，一些现代浏览器已逐渐弃用此头部）。
  • Content-Security-Policy (CSP) 头部：定义允许的内容源，防止恶意脚本加载。

4.4 验证码防护

对于可能被攻击的表单或重要操作（如登录、评论），引入验证码可以有效防止自动化的XSS攻击脚本。

4.5 统一处理：使用Spring的过滤器

在Spring应用中，使用过滤器（Filter）是一个常见的方式，能够拦截所有HTTP请求，在请求到达控制器之前对请求数据进行统一的XSS防护处理。

实现步骤

  1. 创建XSS过滤器类
    我们可以创建一个自定义的XSSFilter来拦截所有请求，并在其中对请求中的参数进行转义或过滤。

    代码示例：

    import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import java.io.IOException;

public class XSSFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        // 初始化过滤器配置
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        // 对请求参数进行XSS转义
        XSSRequestWrapper xssRequestWrapper = new XSSRequestWrapper(request);
        // 继续请求链
        chain.doFilter(xssRequestWrapper, response);
    }

    @Override
    public void destroy() {
        // 销毁时的清理工作
    }
}

  2. 创建XSSRequestWrapper类
    这个类是对ServletRequest的包装，用于对请求中的所有参数进行过滤或转义。

    代码示例：

    import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletRequestWrapper;
import org.springframework.web.util.HtmlUtils;

public class XSSRequestWrapper extends HttpServletRequestWrapper {

    public XSSRequestWrapper(HttpServletRequest request) {
        super(request);
    }

    @Override
    public String getParameter(String name) {
        String value = super.getParameter(name);
        return HtmlUtils.htmlEscape(value); // 转义HTML特殊字符
    }

    @Override
    public String[] getParameterValues(String name) {
        String[] values = super.getParameterValues(name);
        if (values == null) {
            return null;
        }
        String[] escapedValues = new String[values.length];
        for (int i = 0; i < values.length; i++) {
            escapedValues[i] = HtmlUtils.htmlEscape(values[i]);
        }
        return escapedValues;
    }
}

  3. 注册过滤器
    将自定义的XSSFilter过滤器注册到Spring应用中，这样可以确保所有请求都经过XSS过滤。

    代码示例：

    import org.springframework.boot.web.servlet.FilterRegistrationBean;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class FilterConfig {

    @Bean
    public FilterRegistrationBean<XSSFilter> xssFilterRegistrationBean() {
        FilterRegistrationBean<XSSFilter> registrationBean = new FilterRegistrationBean<>();
        registrationBean.setFilter(new XSSFilter());
        registrationBean.addUrlPatterns("/*");  // 拦截所有URL
        return registrationBean;
    }
}

通过这种方式，XSS防护被统一处理，开发者无需在每个控制器中显式调用转义函数。这种方式简化了代码，并确保任何输入都经过过滤器的处理。

4.6 统一处理：使用Spring的全局拦截器

除了过滤器，Spring的拦截器（Interceptor）也是一种常用的方式。拦截器通常用于对请求进行全局处理，例如在进入控制器之前对数据进行处理。

实现步骤

  1. 创建XSS拦截器类
    拦截器与过滤器类似，但是它工作在Spring MVC框架的处理链中。我们可以通过实现HandlerInterceptor接口来创建一个全局XSS拦截器。

    代码示例：

    import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import org.springframework.web.servlet.HandlerInterceptor;
import org.springframework.web.util.HtmlUtils;

public class XSSInterceptor implements HandlerInterceptor {

    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler)
            throws Exception {
        // 获取请求中的参数并进行XSS转义
        request.setAttribute("escapedQuery", HtmlUtils.htmlEscape(request.getParameter("query")));
        return true;
    }
}

  2. 配置拦截器
    在Spring Boot中，我们可以通过配置类来注册拦截器。

    代码示例：

    import org.springframework.context.annotation.Configuration;
import org.springframework.web.servlet.config.annotation.InterceptorRegistry;
import org.springframework.web.servlet.config.annotation.WebMvcConfigurer;

@Configuration
public class WebConfig implements WebMvcConfigurer {

    @Override
    public void addInterceptors(InterceptorRegistry registry) {
        // 注册XSS拦截器
        registry.addInterceptor(new XSSInterceptor()).addPathPatterns("/**");
    }
}

4.7 比较：过滤器 vs 拦截器

  • 过滤器：工作在Servlet层面，适用于对所有HTTP请求进行预处理，无论是否进入Spring MVC处理器。过滤器通常用于对请求数据进行统一处理，适合对所有请求参数的统一安全处理。
  • 拦截器：工作在Spring MVC处理链中，更适合与Spring框架的集成，可以轻松获取控制器层面的信息，适合应用逻辑的统一处理。

两者在实际应用上都能实现类似的功能，选择使用过滤器还是拦截器，取决于应用的架构设计。如果需要对所有请求统一处理，过滤器是更好的选择；而如果只需对Spring MVC请求做处理，拦截器会更加灵活。

4.8 通过统一异常处理的方式防护XSS

除了拦截器和过滤器，Spring还提供了全局异常处理的机制，通过@ControllerAdvice可以捕获和处理所有控制器中的异常，这也是一种处理非法输入和异常情况的统一方式。

代码示例：

import org.springframework.web.bind.annotation.ControllerAdvice;
import org.springframework.web.bind.annotation.ExceptionHandler;
import org.springframework.web.servlet.ModelAndView;

@ControllerAdvice
public class GlobalExceptionHandler {

    @ExceptionHandler(IllegalArgumentException.class)
    public ModelAndView handleIllegalArgumentException(IllegalArgumentException e) {
        // 统一处理非法输入
        ModelAndView mav = new ModelAndView();
        mav.addObject("message", "非法输入检测到: " + e.getMessage());
        mav.setViewName("error");
        return mav;
    }
}

通过这种方式，当检测到非法输入时，可以通过抛出异常来触发统一的异常处理逻辑，实现对XSS攻击的防护。

5. 流程图

在这里插入图片描述

6. 总结

XSS是Web应用中最常见的安全漏洞之一，通过合理的输入过滤、输出转义以及CSP等防护手段，可以有效防御此类攻击。在电商交易系统中，无论是用户评论、搜索功能还是其他输入功能，都必须确保安全，防止攻击者通过XSS获取用户信息或劫持用户会话。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2114055.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

特征值分解(EVD)和奇异值分解(SVD)—应用于图片压缩

特征值分解(EVD)和奇异值分解(SVD)—应用于图片压缩

特征值分解(EVD)和奇异值分解(SVD)—应用于图片压缩 目录 前言 一、特征值分解 二、应用特征值分解对图片进行压缩 三、矩阵的奇异值分解 四、应用奇异值分解对图片进行压缩 五、MATLAB仿真代码 前言 学习了特征值分解和奇异值分解相关知识&#xff0c;发现其可以用于图片…
阅读更多...
初次使用住宅代理有哪些常见误区？

初次使用住宅代理有哪些常见误区？

随着网络技术的发展&#xff0c;住宅代理因其高匿名性和稳定性成为许多用户进行网络活动的首选工具。然而&#xff0c;对于新手而言&#xff0c;使用住宅代理时往往容易陷入一些误区&#xff0c;这不仅可能影响使用效果&#xff0c;还可能带来安全风险。本文将探讨新手在使用住…
阅读更多...
我与Linux的爱恋：yum和vim以及gcc的使用

我与Linux的爱恋：yum和vim以及gcc的使用

​ ​ &#x1f525;个人主页&#xff1a;guoguoqiang. &#x1f525;专栏&#xff1a;Linux的学习 文章目录 ​1.Linux软件包管理器yum2.Linux开发工具3.Linux编译器 vimvim的基本概念vim的基本操作vim正常模式命令集vim末行模式命令集vim操作总结批量化注释批量化去注释简…
阅读更多...
【数据库中级】1_DBeaver操作数据库

【数据库中级】1_DBeaver操作数据库

文章目录 一、连接数据库1.1 命令行连接数据库1.2 DBeaver工具连接数据库 二、DBeaver操作数据库2.1 通过DBeaver操作数据库2.2 通过DBeaver操作表2.3 通过DBeaver操作数据 三、DBeaver界面3.1 SQL编辑区3.2 导航区3.3 修改字体大小 一、连接数据库 1.1 命令行连接数据库 命令…
阅读更多...
《Learning to Count without Annotations》CVPR2024

《Learning to Count without Annotations》CVPR2024

摘要 论文提出了一种名为UnCounTR的模型&#xff0c;该模型能够在没有任何手动标注的情况下学习进行基于参考的对象计数。这是通过构建“Self-Collages”&#xff08;自我拼贴画&#xff09;实现的&#xff0c;即在背景图像上粘贴不同对象的图像作为训练样本&#xff0c;提供覆…
阅读更多...
【Git 学习笔记_24】Git 实用冷门操作技巧（四）—— 更多实用 git 别名设置、交互式新增提交

【Git 学习笔记_24】Git 实用冷门操作技巧（四）—— 更多实用 git 别名设置、交互式新增提交

文章目录 11.8 更多别名设置别名1&#xff1a;只查看当前分支&#xff08;git b&#xff09;别名2&#xff1a;以图表形式显示自定义格式的 git 日志&#xff08;git graph&#xff09;别名3&#xff1a;查看由于合并分支导致的冲突后仍有冲突的、待合并的文件列表&#xff08;…
阅读更多...
Excel文档的读取（1）

Excel文档的读取（1）

熟悉使用Excel的同学应该都知道&#xff0c;在单个Excel表格里想要分商品计算总销售额&#xff0c;使用数据透视表也可以非常快速方便的获得结果。但当有非常大量的Excel文件需要处理时&#xff0c;每一个Excel文件单独去做数据透视也会消耗大量的时间。就算使用Power Query这样…
阅读更多...
python容器3——字典

python容器3——字典

&#xff08;1&#xff09; 什么是字典 字典&#xff1a;python中使用关键字dict表示 字典中允许通过key:value键值对的方式存储数据&#xff0c;让数据的管理更加友好&#xff01; 如图&#xff1a; 字典是一个哈希结构 (传入一个值算出内存地址&#xff0c;将该值保存在该…
阅读更多...
产品经理就业

产品经理就业

供需关系 1.需求分析核心价值是? 将真实的用户需求分析得到与之匹配的产品方案(功能) 2.Y模型的主要内容及其侧重点? 1)用户需求、2)目标动机、3)产品功能、4)人性(马斯洛需求) 1-2-4侧重深入想清楚需求本质 Why、4 -2-3 侧重浅出 How 结果输出 3.可以从哪些角度做好需求分析…
阅读更多...
java.lang.IndexOutOfBoundsException: setSpan ( 0...x ) ends beyond length X

java.lang.IndexOutOfBoundsException: setSpan ( 0...x ) ends beyond length X

1&#xff0c;可能是EditText&#xff0c;setSelection(x)时超过了 输入框内容的实际长度导致的。 2&#xff0c;手机开启“拼写检查功能”&#xff0c;EditText设置了最大长度&#xff0c;选择提示的某一项文案时超过设置的最大长度限制&#xff0c;导致崩溃。 针对情况2 开…
阅读更多...
【电子通识】洁净度等级划分及等级标准

【电子通识】洁净度等级划分及等级标准

洁净度常用于评估半导体、生物制药、医疗、实验室及科研院所、新能源等领域的洁净室、无尘室或者无菌室等环境。 一般来说&#xff0c;晶圆光刻、制造、测试等级为100级或1000级的洁净间&#xff0c;百级洁净间要求空气中0.5微米的尘埃粒子数不得超过每立方米3520个&#xff1b…
阅读更多...
移动UI：新手指引页面，跟着指引不迷路。

移动UI：新手指引页面，跟着指引不迷路。

移动端新手指引在提供用户引导、提升用户体验、提高用户留存率、促进功能使用和降低用户流失率方面都有积极的作用。 移动端新手指引在应用程序或移动网站中有以下几个作用&#xff1a; 1. 提供用户引导&#xff1a; 新手指引可以帮助用户快速了解应用程序或移动网站的功能和…
阅读更多...
【网络安全】Exif 数据储存型XSS

【网络安全】Exif 数据储存型XSS

未经许可，不得转载。 文章目录 Exif步骤Exif EXIF（Exchangeable Image File Format）数据是一种存储在图像文件中的元数据格式，常用于数码照片和扫描图像。它包含了与图像相关的各种信息，比如拍摄日期和时间、相机品牌和型号、拍摄时的设置（如曝光时间、光圈、ISO等）、地…
阅读更多...
输送线相机拍照信号触发(博途PLC高速计数器中断立即输出应用)

输送线相机拍照信号触发(博途PLC高速计数器中断立即输出应用)

博途PLC相关中断应用请参考下面文章链接： T法测速功能块 T法测速功能块(博途PLC上升沿中断应用)-CSDN博客文章浏览阅读165次。本文介绍了博途PLC中T法测速的原理和应用，包括如何开启上升沿中断、配置中断以及T法测速功能块的使用。重点讲述了在中断事件发生后执行的功能块处…
阅读更多...
dp算法练习【6】

dp算法练习【6】

最长公共子序列 1143. 最长公共子序列 给定两个字符串 text1 和 text2&#xff0c;返回这两个字符串的最长 公共子序列 的长度。如果不存在 公共子序列 &#xff0c;返回 0 。 一个字符串的 子序列 是指这样一个新的字符串&#xff1a;它是由原字符串在不改变字符的相对顺序…
阅读更多...
被审稿人批得体无完肤？参考文献这样引用就对了！

被审稿人批得体无完肤？参考文献这样引用就对了！

我是娜姐 迪娜学姐 &#xff0c;一个SCI医学期刊编辑&#xff0c;探索用AI工具提效论文写作和发表。 审稿人对参考文献引用提出质疑&#xff0c;在comments中还挺常见的。一般来说&#xff0c;是最新的、相关的、重要的文献引用缺失。此外&#xff0c;如果仔细分析引文来源&…
阅读更多...
QT定时器QObiect/QTimer

QT定时器QObiect/QTimer

QT定时器 一、QObiect: startTimer ----------- killTimer 电子相册&#xff0c;利用定时器轮播图片 #include "widget.h" #include "ui_widget.h"Widget::Widget(QWidget *parent) :QWidget(parent),ui(new Ui::Widget) {ui->setupUi(this);picID …
阅读更多...
【自动驾驶】控制算法（八）横向控制Ⅱ | Carsim 与 Matlab 联合仿真基本操作

【自动驾驶】控制算法（八）横向控制Ⅱ | Carsim 与 Matlab 联合仿真基本操作

写在前面&#xff1a; &#x1f31f; 欢迎光临 清流君 的博客小天地&#xff0c;这里是我分享技术与心得的温馨角落。&#x1f4dd; 个人主页&#xff1a;清流君_CSDN博客&#xff0c;期待与您一同探索 移动机器人 领域的无限可能。 &#x1f50d; 本文系 清流君 原创之作&…
阅读更多...
[SWPUCTF 2021 新生赛]web方向(一到六题) 解题思路，实操解析，解题软件使用，解题方法教程

[SWPUCTF 2021 新生赛]web方向(一到六题) 解题思路，实操解析，解题软件使用，解题方法教程

题目来源 NSSCTF | 在线CTF平台因为热爱&#xff0c;所以长远&#xff01;NSSCTF平台秉承着开放、自由、共享的精神&#xff0c;欢迎每一个CTFer使用。https://www.nssctf.cn/problem [SWPUCTF 2021 新生赛]gift_F12 这个题目简单打开后是一个网页 我们一般按F12或者是右键查…
阅读更多...
AWTK 如何用 OpenGL 绘制图形

AWTK 如何用 OpenGL 绘制图形

在有 GPU 的情况下&#xff0c;AWTK 使用 OpenGL 绘制图形。但是你会发现&#xff0c;如果自己在 paint 事件中使用 OpenGL 绘制图形&#xff0c;图形是无法显示的。原因是&#xff0c;AWTK 采用 nanovg 绘制图形&#xff0c;而 nanovg 并不是在绘制时立即执行的&#xff0c;而…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023