设为首页收藏本站
开启辅助访问

在路上

 找回密码
 立即注册
在路上 › 站点首页 ›学习 › 查看内容

Web安全-防御前端渗透的编码技巧

2016-12-20 13:11| 发布者: zhangjf| 查看: 567| 评论: 0

摘要: 防御前端渗透的编码技巧 前端攻击主要包括XSS（跨站脚本攻击）、CSRF（跨站请求伪造）、SQL注入。网上有很多，“Noodles”的技术周刊 中就有很多详细的解释。 一、 XSS&SQL注入 它们的共同之处是在用户输入或抓 ...
防御前端渗透的编码技巧

前端攻击主要包括XSS（跨站脚本攻击）、CSRF（跨站请求伪造）、SQL注入。网上有很多，“Noodles”的技术周刊 中就有很多详细的解释。

一、 XSS&SQL注入

它们的共同之处是在用户输入或抓包修改的情况下，由于前后端没有有效过滤，导致恶意代码的执行。

1、XSS&SQL注入编码技巧：

前端的转义是必不可少的，但是抓包就除外了，所以我们重点放在后端。网上有个XSSProject，地址为：http://yunjiechao-163-com.ite...。

也可以直接用下面的代码：

  1. /**
  2. *
  3. * XSS过滤
  4. * @author Alex
  5. *
  6. */
  7. public class XSSFilter implements Filter{
  9. public void doFilter(ServletRequest arg0, ServletResponse arg1,
  10. FilterChain arg2) throws IOException, ServletException {
  11. // TODO Auto-generated method stub
  12. HttpServletRequest request = (HttpServletRequest) arg0;
  13. HttpServletResponse response = (HttpServletResponse) arg1;
  14. XssAndSqlHttpServletRequestWrapper xssRequest = new XssAndSqlHttpServletRequestWrapper(request);//采用包装器过滤掉恶意输入
  15. arg2.doFilter(xssRequest, response);
  16. }
  18. }
复制代码
  1. /**
  2. *
  3. * XSS包装器
  4. * @author Alex
  5. *
  6. */
  7. public class XssAndSqlHttpServletRequestWrapper extends HttpServletRequestWrapper {
  9. private Logger log = Logger.getLogger(getClass());
  10. private HttpServletRequest orgRequest = null;
  12. public XssAndSqlHttpServletRequestWrapper(HttpServletRequest request) {
  13. super(request);
  14. orgRequest = request;
  15. }
  17. @Override
  18. public String getParameter(String name) {
  19. String value = null;
  20. try {
  21. //不过滤菜单
  22. if(!name.equals("menuHtml")){//是我自己的菜单，大家无视掉！
  23. value = super.getParameter(xssEncode(name));
  24. if (value != null) {
  25. value = URLDecoder.decode(value, Constant.UTF);//或用BASE处理中文乱码
  26. value = xssEncode(value);
  27. }
  28. }else{
  29. value = super.getParameter(name);
  30. }
  31. } catch (UnsupportedEncodingException e) {
  32. // TODO Auto-generated catch block
  33. e.printStackTrace();
  34. log.error(e.getMessage());
  35. }
  36. return value;
  37. }
  39. @Override
  40. public String getHeader(String name) {//请求头也可能插入
  41. String value = null;
  42. try {
  43. value = super.getHeader(xssEncode(name));
  44. if (value != null) {
  45. value = xssEncode(value);
  46. }
  47. } catch (Exception e) {
  48. // TODO Auto-generated catch block
  49. e.printStackTrace();
  50. log.error(e.getMessage());
  51. }
  52. return value;
  53. }
  55. private static String xssEncode(String s) {//替换成中文字符
  56. if (s == null || s.isEmpty()) {
  57. return s;
  58. }else{
  59. s = stripXSSAndSql(s);
  60. }
  61. StringBuilder sb = new StringBuilder(s.length() + 16);
  62. for (int i = 0; i < s.length(); i++) {
  63. char c = s.charAt(i);
  64. switch (c) {
  65. case '>':
  66. sb.append("＞");// 转义大于号
  67. break;
  68. case '<':
  69. sb.append("＜");// 转义小于号
  70. break;
  71. case ''':
  72. sb.append("＇");// 转义单引号
  73. break;
  74. case '"':
  75. sb.append("＂");// 转义双引号
  76. break;
  77. case '&':
  78. sb.append("＆");// 转义&
  79. break;
  80. case '#':
  81. sb.append("＃");// 转义#
  82. break;
  83. default:
  84. sb.append(c);
  85. break;
  86. }
  87. }
  88. return sb.toString();
  89. }
  91. public HttpServletRequest getOrgRequest() {
  92. return orgRequest;
  93. }
  95. public static HttpServletRequest getOrgRequest(HttpServletRequest req) {
  96. if (req instanceof XssAndSqlHttpServletRequestWrapper) {
  97. return ((XssAndSqlHttpServletRequestWrapper) req).getOrgRequest();
  98. }
  99. return req;
  100. }
  102. public static String stripXSSAndSql(String value) {
  103. if (value != null) {
  104. // Avoid anything between script tags
  105. Pattern scriptPattern = Pattern.compile("<[rn| | ]*script[rn| | ]*>(.*?)</[rn| | ]*script[rn| | ]*>", Pattern.CASE_INSENSITIVE);
  106. value = scriptPattern.matcher(value).replaceAll("");
  107. // Avoid anything in a src="http://www.yihaomen.com/article/java/..." type of e-xpression
  108. scriptPattern = Pattern.compile("src[rn| | ]*=[rn| | ]*[\"|\'](.*?)[\"|\']", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
  109. value = scriptPattern.matcher(value).replaceAll("");
  110. // Remove any lonesome </script> tag
  111. scriptPattern = Pattern.compile("</[rn| | ]*script[rn| | ]*>", Pattern.CASE_INSENSITIVE);
  112. value = scriptPattern.matcher(value).replaceAll("");
  113. // Remove any lonesome <script ...> tag
  114. scriptPattern = Pattern.compile("<[rn| | ]*script(.*?)>", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
  115. value = scriptPattern.matcher(value).replaceAll("");
  116. // Avoid eval(...) expressions
  117. scriptPattern = Pattern.compile("eval\((.*?)\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
  118. value = scriptPattern.matcher(value).replaceAll("");
  119. // Avoid e-xpression(...) expressions
  120. scriptPattern = Pattern.compile("e-xpression\((.*?)\)", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
  121. value = scriptPattern.matcher(value).replaceAll("");
  122. // Avoid javascript:... expressions
  123. scriptPattern = Pattern.compile("javascript[rn| | ]*:[rn| | ]*", Pattern.CASE_INSENSITIVE);
  124. value = scriptPattern.matcher(value).replaceAll("");
  125. // Avoid vbscript:... expressions
  126. scriptPattern = Pattern.compile("vbscript[rn| | ]*:[rn| | ]*", Pattern.CASE_INSENSITIVE);
  127. value = scriptPattern.matcher(value).replaceAll("");
  128. // Avoid onload= expressions
  129. scriptPattern = Pattern.compile("onload(.*?)=", Pattern.CASE_INSENSITIVE | Pattern.MULTILINE | Pattern.DOTALL);
  130. value = scriptPattern.matcher(value).replaceAll("");
  131. }
  132. return value;
  133. }
  135. }
复制代码

web.xml中添加

  1. <filter>
  2. <filter-name>XSSFilter</filter-name>
  3. <filter-class>com.xxx.filter.XSSFilter</filter-class>
  4. </filter>
  5. <filter-mapping>
  6. <filter-name>XSSFilter</filter-name>
  7. <url-pattern>/*</url-pattern>
  8. </filter-mapping>
复制代码

二、CSRF

1、Referer的方式

在过滤器中判读请求头中Referer的值，如同域名就可以访问。

  1. String referer = request.getHeader("Referer");
  2. if(referer.startsWith("http://www.xxx.com")){
  3. chain.doFilter(request, response);
  4. }
复制代码

弊端：用户过于关心自己的浏览记录，可能会屏蔽这个值，导致正常用户也不能访问系统。

2、采用Token的方式

弊端：黑客发送给用户一个链接，盗取Token，这种方式叫CXRF。

3、JWT的方式

今天闲来无事就试了一下这种方法，感觉还不错，跟大家分享一下。开源社区有源码，我没用那个就自己随便写了点。

下面是代码：

  1. /**
  2. *
  3. * @author Alex
  4. *
  5. */
  6. public class JWTFilter implements Filter{
  8. private Logger log = Logger.getLogger(getClass());
  10. public void destroy() {
  11. // TODO Auto-generated method stub
  13. }
  15. public void doFilter(ServletRequest arg0, ServletResponse arg1,
  16. FilterChain arg2) throws IOException, ServletException {
  17. // TODO Auto-generated method stub
  18. HttpServletRequest request = (HttpServletRequest) arg0;
  19. HttpServletResponse response = (HttpServletResponse) arg1;
  20. try {
  21. String jwt = null;
  22. Cookie[] cookies = request.getCookies();
  23. for(Cookie cookie:cookies){
  24. if(cookie.getName().equals("jwt")){
  25. jwt = cookie.getValue();
  26. break;
  27. }
  28. }
  29. String userName = (String) request.getSession().getAttribute("userName");
  30. if(jwt==null){//Cookie中无JWT
  31. jwt = JWTWrapper.createJWT(userName);//userName设置为接收方
  32. response.addHeader("Set-Cookie", "jwt="+jwt+";Path=/;HttpOnly");//防止JS获取Cookie
  33. }else{
  34. int judge = JWTWrapper.judgeJWT(jwt, userName);//判断JWT是否过期
  35. if(judge==-1){//被篡改
  36. return ;
  37. }else if(judge==0){//过期或将要过期
  38. String jwt_new = JWTWrapper.createJWT(userName);
  39. response.addHeader("Set-Cookie", "jwt="+jwt_new+";Path=/;HttpOnly");
  40. }
  41. }
  42. arg2.doFilter(request, response);
  43. } catch (Exception e) {
  44. // TODO: handle exception
  45. e.printStackTrace();
  46. log.error(e.getMessage());
  47. }
  48. }
  50. public void init(FilterConfig arg0) throws ServletException {
  51. // TODO Auto-generated method stub
  53. }
  55. }
复制代码
  1. /**
  2. *
  3. * JWT包装器
  4. * @author Alex
  5. *
  6. */
  7. public class JWTWrapper {
  9. private static String iss = "XXX";//签发者
  10. private static Long exp_add = Long.valueOf(30*60*1000);//过期时间，默认半小时
  11. private static String des_key = "XXXXXXX";
  13. /**
  14. * 创建JWT
  15. * @param aud 接收方
  16. */
  17. public static String createJWT(String aud){
  18. String jwt = null;
  19. try {
  20. Long iat = System.currentTimeMillis();//签发时间，应该用秒，用毫秒省事了
  22. String header = "{"typ":"JWT","alg":"DES"}";//头部
  23. String payload = "{"iss":""+iss+"","aud":""+aud+"","iat":"+iat+","exp":"+(iat+exp_add)+"}";//载荷
  24. String signature = null;//签名
  26. header = Base64.encodeBase64URLSafeString(header.getBytes(Constant.UTF));
  27. payload = Base64.encodeBase64URLSafeString(payload.getBytes(Constant.UTF));
  29. signature = DesUtil.encrypt(header+"."+payload, des_key);//des加密速度快些，可以用其它加密
  31. jwt = header+"."+payload+"."+signature;
  32. } catch (Exception e) {
  33. // TODO: handle exception
  34. e.printStackTrace();
  35. System.out.println(e.getMessage());
  36. }
  37. return jwt;
  38. }
  40. /**
  41. * 验证JWT
  42. * @param jwt
  43. * @param aud 接收方
  44. * @return
  45. */
  46. public static int judgeJWT(String jwt,String aud){
  47. int judge = -1;//-1：篡改的JWT
  48. try {
  49. if(jwt.indexOf(".")!=-1){//分割JWT
  50. String[] strs = jwt.split("\.");
  51. String signature_new = strs[0]+"."+strs[1]+"."+DesUtil.encrypt(strs[0]+"."+strs[1], des_key);//签名
  53. if(signature_new.startsWith(jwt)){//未被篡改
  54. String payload = new String(Base64.decodeBase64(strs[1]), Constant.UTF);//载荷
  55. JSONObject JO = JSONObject.fromObject(payload);
  56. if(JO.getString("iss").equals(iss)&&JO.getString("aud").equals(aud)){
  57. Long exp = JO.getLong("exp");
  59. Long iat = System.currentTimeMillis();//签发时间
  60. if(exp>iat&&(exp-iat)>1*60*1000){//过期时间>1分钟
  61. judge = 1;//正常，不需更新JWT
  62. }else{
  63. judge = 0;//JWT过期或将要过期
  64. }
  65. }
  66. }
  67. }
  68. } catch (Exception e) {
  69. // TODO: handle exception
  70. e.printStackTrace();
  71. System.out.println(e.getMessage());
  72. }
  73. return judge;
  74. }
  76. }
复制代码

大家有要用的，就动手试试吧！

先这样吧，有时间会继续追加。不太会写文章，本人工作经验不多，希望大家海涵，哈哈。

收藏 邀请
上一篇：面试必备的基础tcp/ip知识下一篇：微服务横行的今天, 你的文档跟上节奏了么?

最新评论

相关分类

小黑屋|在路上 ( 蜀ICP备15035742号-1 )  

;

GMT+8, 2025-7-7 20:33

Copyright 2015-2025 djqfx

返回顶部