互联网安全架构平台设计之预防XSS攻击

文章目录

互联网安全架构平台设计之预防XSS攻击
一、什么是XSS攻击？
二、XSS攻击详解
- 1.XSS攻击的原理
- 2.解决方案
三、注意事项

一、什么是XSS攻击？

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java、 VBScript、ActiveX、 Flash或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。

跨站脚本攻击（XSS）与SQL注入漏洞漏洞一样，都是利用了Web页面的编写不完善，是最普遍的Web应用安全漏洞，当然现在基本上所有的框架都做了XSS防御。

二、XSS攻击详解

1.XSS攻击的原理

XSS攻击出现的原因就是返回的数据信息没有做特殊字符转义，然后前端展示出来的时候直接当做了HTML处理了，所以注入的JS脚本就直接执行了。
简单的举个例子：以前的博客平台等网站没有做XSS攻击防护的时候，我们在评论里面加入JS脚本（<script> window.location.href = 'www.baidu.com'</script>），等别人再打开这个博客的时候就自动展示评论，由于特殊字符没有转义，前端HTML直接把评论当JS脚本执行了，所以打开博客就跳转到了百度页面。

2.解决方案

XSS攻击的解决方案是比较多的，下面说一下常用的解决方案：
Cookie的安全设置：

http-only: 只允许http或https请求读取cookie，禁止JS代码读取cookie，发送请求的时候自动发送cookie。
secure-only: 只允许https请求读取，发送请求时自动发送cookie。
host-only: 只允许主机域名与domain设置完成一致的网站才能访问cookie。

使用后端过滤器：

@Component
@WebFilter
public class XssFilter implements Filter {@Overridepublic void init(FilterConfig filterConfig) throws ServletException {...}@Overridepublic void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {// 对请求的参数进行转义chain.doFilter(new XssHttpServletRequestWrapper((HttpServletRequest) request), response);}@Overridepublic void destroy() {...}
}

public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper {/*** Constructs a request object wrapping the given request.** @param request The request to wrap* @throws IllegalArgumentException if the request is null*/public XssHttpServletRequestWrapper(HttpServletRequest request) {super(request);}/*** 核心代码，对参数中的HTML特殊字符进行转义，StringEscapeUtils工具类已经给写好了，* 获取到的参数就是转义过后的，不需要自己写了，有其他业务需求的可以自己实现。*/@Overridepublic String getParameter(String name) {String oldValue = super.getParameter(name);if(StringUtils.isEmpty(oldValue)){return oldValue;}String newValue = StringEscapeUtils.escapeHtml4(oldValue);return newValue;}
}

三、注意事项

后端做XSS过滤的时候要考虑当前请求是否要过滤或者过滤后特殊情况的需要怎么处理：
简单举个例子：如果对表单填的内容进行了过滤，例如input输入框里填了 1<2,如果转义就变成了1<2，然后表单回显的时候显示的是1<2肯定是不对的，亲身经历过这个问题。