java防范跨站脚本攻击(XSS)

网络中心提示网站有数目众多的跨站脚本攻击（XSS）漏洞，经过查看代码，认为是JSP中绑定变量是未经处理直接写入的，而且整个项目中这样的做法太多，因为是多年前的，不好一个个更改，参照网上资料，通过加filter对数据参数进行处理。

1、在github上下载lucy-xss-servlet-filter：https://github.com/naver/lucy-xss-servlet-filter

2、打开项目lucy-xss-servlet-filter，将下载代码输出为jar包.

项目输出为jar包参见教程：http://blog.****.net/yahohi/article/details/6888559

3、将生成的jar包和lucy-xss-servlet-filter引用的jar包放入漏洞网站的/WEB-INFO/lib目录或tomcat的lib目录。

4、在漏洞网站的web.xml中添加对lucy-xss-servlet-filter的引用。

...
    <filter>
        <filter-name>xssEscapeServletFilter</filter-name>
        <filter-class>com.navercorp.lucy.security.xss.servletfilter.XssEscapeServletFilter</filter-class>
    </filter>
    <filter-mapping>
        <filter-name>xssEscapeServletFilter</filter-name>
        <url-pattern>/*</url-pattern>
    </filter-mapping>
...

5、在classess目录下放入lucy-xss-servlet-filter-rule.xml 。

 <?xml version="1.0" encoding="UTF-8"?>
 <config xmlns="http://www.navercorp.com/lucy-xss-servlet">
    <defenders>
        <!-- XssPreventer 등록 -->
        <defender>
            <name>xssPreventerDefender</name>
            <class>com.navercorp.lucy.security.xss.servletfilter.defender.XssPreventerDefender</class>
        </defender>

        <!-- XssSaxFilter 등록 -->
        <defender>
            <name>xssSaxFilterDefender</name>
            <class>com.navercorp.lucy.security.xss.servletfilter.defender.XssSaxFilterDefender</class>
            <init-param>
                <param-value>lucy-xss-sax.xml</param-value>   <!-- lucy-xss-filter의 sax용 설정파일 -->
                <param-value>false</param-value>        <!-- 필터링된 코멘트를 남길지 여부, 성능 효율상 false 추천 -->
            </init-param>
        </defender>

        <!-- XssFilter 등록 -->
        <defender>
            <name>xssFilterDefender</name>
            <class>com.navercorp.lucy.security.xss.servletfilter.defender.XssFilterDefender</class>
            <init-param>
                <param-value>lucy-xss.xml</param-value>    <!-- lucy-xss-filter의 dom용 설정파일 -->
                <param-value>false</param-value>         <!-- 필터링된 코멘트를 남길지 여부, 성능 효율상 false 추천 -->
            </init-param>
        </defender>
    </defenders>

     <!-- default defender 선언, 별다른 defender 선언이 없으면 default defender를 사용해 필터링 한다. -->
     <default>
         <defender>xssPreventerDefender</defender>
     </default>

     <!-- global 필터링 룰 선언 -->
     <global>
         <!-- 모든 url에서 들어오는 globalParameter 파라메터는 필터링 되지 않으며
                 또한 globalPrefixParameter로 시작하는 파라메터도 필터링 되지 않는다. -->
         <params>
             <param name="globalParameter" useDefender="false" />
             <param name="globalPrefixParameter" usePrefix="true" useDefender="false" />
         </params>
     </global>

     <!-- url 별 필터링 룰 선언 -->
     <url-rule-set>

        <!-- url disable이 true이면 지정한 url 내의 모든 파라메터는 필터링 되지 않는다. -->
        <url-rule>
            <url disable="true">/disableUrl1.do</url>
        </url-rule>

         <!-- url1 내의 url1Parameter는 필터링 되지 않으며 또한 url1PrefixParameter로 시작하는 파라메터도 필터링 되지 않는다. -->
         <url-rule>
             <url>/url1.do</url>
             <params>
                 <param name="url1Parameter" useDefender="false" />
                 <param name="url1PrefixParameter" usePrefix="true" useDefender="false" />
             </params>
         </url-rule>

         <!-- url2 내의 url2Parameter1만 필터링 되지 않으며 url2Parameter2는 xssSaxFilterDefender를 사용해 필터링 한다.  -->
         <url-rule>
             <url>/url2.do</url>
             <params>
                 <param name="url2Parameter1" useDefender="false" />
                 <param name="url2Parameter2">
                     <defender>xssSaxFilterDefender</defender>
                 </param>
             </params>
         </url-rule>
     </url-rule-set>
 </config>

6、重启tomcat测试网站，在参数中注入脚本不再提示XSS警告，而是直接出错。

问题解决。这样的好处是不用改动原网站。

参考：

WEB安全实战（五）XSS 攻击的另外一种解决方案（推荐） - ****博客

java(ssh）项目防止XSS攻击方法总结