Struts XSS預防-防止GET XSS

Question

通過結合bean：write消息中的filter =“ true”並在我正在使用的標簽庫中使用StringEscapeUtils.escapeHtml4（string），我已經能夠防止Struts 1.2中的XSS攻擊。 但是，我可以通過以下形式的URL攻擊來攻擊我的網站...

www.mysite.com/App/Start.do?logo=mylogo'><script>alert("ATTACK")</script>

關於防止這種情況的最佳方法的任何建議。 我嘗試使用Servlet過濾器，但不想將所有請求輸入都轉換為特殊字符。

Answer 1

我發現阻止XSS的最簡單方法是在寫入網頁之前，用< ， >和"替換所有> ， <和"字符。只要您不將用戶輸入內容放在XSS中，就應該保護您免受XSS的攻擊位置，例如腳本標簽，圖像標簽（可以從圖像標簽的src =獲得XSS）等，因為它們將無法創建自己的標簽。

在PHP中，您可以使用htmlSpecialChars方法對所有字符進行編碼。 但是Java沒有這種方法，因此最快的方法就是替換那些方法，您應該親自檢查整個列表。 應該不太難實現5 replaceAll()

---

您使用StringEscapeUtils方法的文檔聲稱可以執行我在上面建議的操作，因此您應檢查您使用該方法的正確性，因為您的示例不能幸免於這種形式的預防。