<form action="sendmessage.php" method="post'">
<textarea name="message"></textarea>
<input type="submit" value="send" />
</form>
当用户点击发送时，这条消息会被保存在数据库中指定的数据表中，另一个用户当打开这条消息的时候将看到发送的内容。但是，如果一个恶意攻击者发送的内容包含了一些javascript代码，这些代码用于偷取敏感的cookie信息。当用户打开看到这条消息的时候，恶意的javascript代码就会得到执行，造成敏感cookie信息泄漏。攻击者可以利用获得这些cookie信息进行session hijacking会话劫持，直接以合法用户的身份登录其他用户的账户。
恶意攻击者可以在消息框中加入一下javascript代码:
在java Web体系中，可以写自定义标签，过滤用户输入，也可以写一个filter过滤器。比如说自定义标签。
开发步骤:
1 写一个标签处理类
2 在/WEB-INF/目录下，写一个*.tld文件，目的是让Web容器知道自定义标签和标签处理类的对应关系
3 在JSP页面中，通过<%@taglib%>指令引用标签库.
4 部署web应用，访问simple.jsp即可
其中，标签处理类可以这样写，转义大于号，小于号等特殊符号。
package cn.itcast.web.jsp.tagimport java.io.IOException
import java.io.StringWriter
import javax.servlet.jsp.JspException
import javax.servlet.jsp.PageContext
import javax.servlet.jsp.tagext.JspFragment
import javax.servlet.jsp.tagext.SimpleTagSupport
//<simple:filter>标签处理类
public class FilterTag extends SimpleTagSupport {
public void doTag() throws JspException, IOException {
JspFragment jspFragment = this.getJspBody()
StringWriter writer = new StringWriter()
jspFragment.invoke(writer)
String temp = writer.getBuffer().toString()
//结果必定是转义后的字符串
temp = filter(temp)
PageContext pageContext = (PageContext) this.getJspContext()
pageContext.getOut().write(temp)
}
public String filter(String message) {
if (message == null)
return (null)
char content[] = new char[message.length()]
message.getChars(0, message.length(), content, 0)
StringBuffer result = new StringBuffer(content.length + 50)
for (int i = 0 i < content.length i++) {
switch (content[i]) {
case '<':
result.append("<")
break
case '>':
result.append(">")
break
case '&':
result.append("&")
break
case '"':
result.append(""")
break
default:
result.append(content[i])
}
}
return (result.toString())
}
}
是CSRF(Cross-site request forgery) 不是你写的那个!跨域不用担心.主流浏览器都会帮你做防御的. 问题不大,主要是你自己别给其他域的权限即可.非必要的话,以最小权限原则.
xss主要就是过滤输入输出.如果业务很多,还是找人审计代码吧.或者用比较成熟的模块.CSRF的话,1,验证来源 2加随机token之类的.
sqli主要还是过滤输入的地方.过滤/转义关键字比如select,and,or等等(有专门的防注入模块).觉得怕麻烦的话.用那些云主机的防御功能.再加个cdn基本就没事了.(对于一般的反射型跨站也适用)
