XSS攻擊多目錄Struts 1.2

Question

我有一個Struts 1.2應用程序，其中包含多個不同的應用程序，每個應用程序都有自己的配置文件。 我遇到的問題歸結為XSS攻擊。 每個應用程序的設置如下...

http://www.myapp.com/app/app1/welcome.action
http://www.myapp.com/app/app2/welcome.action
http://www.myapp.com/app/app3/welcome.action

其中app1，app2和app3是文件夾。 我的問題是用戶可以執行以下操作...

http://www.myapp.com/app/app1<img src=a onerror=alert("alert")>/welcome.action

在站點上造成XSS攻擊。 問題是因為“ app1”是一個文件夾，我不能使用servlet過濾器來防止在那里的惡意代碼。 任何人的建議嗎？

Answer 1

創建一個Servlet過濾器，並將其映射到URL模式/*作為鏈中的第一個過濾器。 然后，所有請求將通過此過濾器進行路由。 在filter.doFilter()處理特殊字符，例如“ <”。 最好看一下OWASP ESAPI（java）項目來處理這些事情： http : //code.google.com/p/owasp-esapi-java/