springboot xss

patherBlue

已于 2022-08-05 15:22:01 修改

阅读量3.2k

点赞数 1

分类专栏：网页安全文章标签： spring boot xss java

于 2022-08-05 15:18:23 首次发布

本文链接：https://blog.youkuaiyun.com/tanxuefeng11/article/details/126178116

版权

网页安全专栏收录该内容

3 篇文章

订阅专栏

本文详细介绍了XSS攻击的原理、类型及其危害，并提供了SpringBoot项目中防止XSS攻击的配置示例。同时，解释了SQL注入的机制，通过一个登录框的案例展示了如何利用SQL注入进行攻击，以及防范措施，包括使用预编译语句和密码加密。在SpringBoot项目中，通过配置XssFilter和XssHttpServletRequestWrapper实现了对请求参数的过滤，确保了应用的安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

1、xss

什么是XSS攻击？
**XSS 即（Cross Site Scripting）中文名称为：跨站脚本攻击。**XSS的重点不在于跨站点，而在于脚本的执行。那么XSS的原理是：

恶意攻击者在web页面中会插入一些恶意的script代码。当用户浏览该页面的时候，那么嵌入到web页面中script代码会执行，因此会达到恶意攻击用户的目的。

那么XSS攻击最主要有如下分类：反射型、存储型、及 DOM-based型。反射性和DOM-baseed型可以归类为非持久性XSS攻击。存储型可以归类为持久性XSS攻击。

1.2、SQL 注入
SQL注入是通过客户端的输入把SQL命令注入到一个应用的数据库中，从而执行恶意的SQL语句。

什么意思呢？我们来打个比方：我们有一个登录框，需要输入用户名和密码对吧，然后我们的密码输入 'or ‘123’ = '123 这样的。我们在查询用户名和密码是否正确的时候，本来执行的sql语句是：select * from user where username = ‘’ and password = ‘’. 这样的sql语句，现在我们输入密码是如上这样的，然后我们会通过参数进行拼接，拼接后的sql语句就是：

select * from user where username = ‘’ and password = ’ ’ or ‘123’ = '123 '; 这样的了，那么会有一个or语句，只要这两个有一个是正确的话，就条件成立，因此 123 = 123 是成立的。因此验证就会被跳过。这只是一个简单的列子，比如还有密码比如是这样的：’; drop table user;, 这样的话，那么sql命令就变成了：

select * from user where username = ‘’ and password = ‘’; drop table user;’ , 那么这个时候我们会把user表直接删除了。

sql被攻击的原因是：sql语句伪造参数，然后对参数进行拼接后形成xss攻击的sql语句。最后会导致数据库被攻击了。

防范的方法：

1、我们可以使用预编译语句(PreparedStatement，这样的话即使我们使用sql语句伪造成参数，到了服务端的时候，这个伪造sql语句的参数也只是简单的字符，并不能起到攻击的作用。

2、数据库中密码不应明文存储的，可以对密码使用md5进行加密，为了加大破解成本，所以可以采用加盐的方式。

2、springboot项目中的xss

2.1

在application.properties中加入


# 过滤开关
xss.enabled=true
# 排除链接（多个用逗号分隔）
xss.excludes=/content/*
# 匹配链接
xss.urlPatterns=/*,/monitor/*,/tool/*
#none simpleText basic basicWithImages relaxed
xss.jsoup.level=none

2.2

添加类FilterConfig.java

@Configuration
public class FilterConfig
{

    @Value("${xss.enabled}")
    private String enabled;

    @Value("${xss.excludes}")
    private String excludes;

    @Value("${xss.urlPatterns}")
    private String urlPatterns;

    @Value("${xss.jsoup.level}")
    private String level;

    @SuppressWarnings({ "rawtypes", "unchecked" })
    @Bean
    public FilterRegistrationBean xssFilterRegistration()
    {
        FilterRegistrationBean registration = new FilterRegistrationBean();
        registration.setDispatcherTypes(DispatcherType.REQUEST);
        registration.setFilter(new XssFilter());
        registration.addUrlPatterns(StringUtils.split(urlPatterns, ","));
        registration.setName("xssFilter");
        registration.setOrder(Integer.MAX_VALUE);
        Map<String, String> initParameters = Maps.newHashMap();
        initParameters.put("excludes", excludes);
        initParameters.put("enabled", enabled);
        initParameters.put("level", level);
        registration.setInitParameters(initParameters);
        return registration;
    }
}

2.3

添加类文件XssHttpServletRequestWrapper.java

public class XssHttpServletRequestWrapper extends HttpServletRequestWrapper
{
    /**
     * @param request
     */
    public XssHttpServletRequestWrapper(HttpServletRequest request)
    {
        super(request);
    }

    public  String level="none";

    @Override
    public String[] getParameterValues(String name)
    {
        String[] values = super.getParameterValues(name);
        if (values != null)
        {
            int length = values.length;
            String[] escapseValues = new String[length];
            for (int i = 0; i < length; i++)
            {
                // 防xss攻击和过滤前后空格
//                Jsoup.clean(strHTML, Whitelist.none().addTags("div"));
//                1)： none()
//                该API会清除所有HTML标签，仅保留文本节点。
//
//                2)： simpleText()
//                该API仅会保留b, em, i, strong, u 标签，除此之外的所有HTML标签都会被清除。
//
//                3)： basic()
//                该API会保留 a, b, blockquote, br, cite, code, dd, dl, dt, em, i, li, ol, p, pre, q, small, span, strike, strong, sub, sup, u, ul 和其适当的属性标签，除此之外的所有HTML标签都会被清除，且该API不允许出现图片(img tag)。另外该API中允许出现的超链接中可以允许其指定http, https, ftp, mailto 且在超链接中强制追加rel=nofollow属性。
//
//                4)： basicWithImages()
//                该API在保留basic()中允许出现的标签的同时也允许出现图片(img tag)和img的相关适当属性，且其src允许其指定 http 或 https。
//
//                5)： relaxed()
//                该API仅会保留 a, b, blockquote, br, caption, cite, code, col, colgroup, dd, div, dl, dt, em, h1, h2, h3, h4, h5, h6, i, img, li, ol, p, pre, q, small, span, strike, strong, sub, sup, table, tbody, td, tfoot, th, thead, tr, u, ul 标签，除此之外的所有HTML标签都会被清除，且在超链接中不会强制追加rel=nofollow属性。
                if(level.equals("none")){
                    escapseValues[i] = Jsoup.clean(values[i], Whitelist.none()).trim();
                }else if(level.equals("simpleText")){
                    escapseValues[i] = Jsoup.clean(values[i], Whitelist.simpleText()).trim();
                }else if(level.equals("basic")){
                    escapseValues[i] = Jsoup.clean(values[i], Whitelist.basic()).trim();
                }else if(level.equals("basicWithImages")){
                    escapseValues[i] = Jsoup.clean(values[i], Whitelist.basicWithImages()).trim();
                }else{ //relaxed
                    escapseValues[i] = Jsoup.clean(values[i], Whitelist.relaxed()).trim();
                }

            }
            return escapseValues;
        }
        return super.getParameterValues(name);
    }
}

2.4

添加类文件 XssFilter.java

public class XssFilter implements Filter
{
    /**
     * 排除链接
     */
    public List<String> excludes = new ArrayList<>();

    /**
     * xss过滤开关
     */
    public boolean enabled = false;

    public String level="none";

    @Override
    public void init(FilterConfig filterConfig) throws ServletException
    {
        String tempExcludes = filterConfig.getInitParameter("excludes");
        String tempEnabled = filterConfig.getInitParameter("enabled");
        String tempLevel = filterConfig.getInitParameter("level");
        if (StringUtils.isNotEmpty(tempExcludes))
        {
            String[] url = tempExcludes.split(",");
            for (int i = 0; url != null && i < url.length; i++)
            {
                excludes.add(url[i]);
            }
        }
        if (StringUtils.isNotEmpty(tempEnabled))
        {
            enabled = Boolean.valueOf(tempEnabled);
        }
        if (StringUtils.isNotEmpty(tempLevel))
        {
            level = tempLevel;
        }


    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException
    {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse resp = (HttpServletResponse) response;
        if (handleExcludeURL(req, resp))
        {
            chain.doFilter(request, response);
            return;
        }
        XssHttpServletRequestWrapper xssRequest = new XssHttpServletRequestWrapper((HttpServletRequest) request);
        xssRequest.level=level;
        chain.doFilter(xssRequest, response);
    }

    private boolean handleExcludeURL(HttpServletRequest request, HttpServletResponse response)
    {
        if (!enabled)
        {
            return true;
        }
        if (excludes == null || excludes.isEmpty())
        {
            return false;
        }
        String url = request.getServletPath();
        for (String pattern : excludes)
        {
            Pattern p = Pattern.compile("^" + pattern);
            Matcher m = p.matcher(url);
            if (m.find())
            {
                return true;
            }
        }
        return false;
    }

    @Override
    public void destroy()
    {

    }
}

3、测试

输入框中输入的文字为

 <table onclick="alert('dddd')">test</table>

保存到数据库中为
test