XSS之xssprotect

最新推荐文章于 2023-11-27 20:58:09 发布

jiuai455

最新推荐文章于 2023-11-27 20:58:09 发布

阅读量2.7k

点赞数

参考资料
1 跨网站脚本 http://zh.wikipedia.org/wiki/XSS
2 http://code.google.com/p/xssprotect/
一跨网站脚本介绍
跨网站脚本（Cross-site scripting，通常简称为XSS或跨站脚本或跨站脚本攻击）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户在观看网页时就会受到影响。这类攻击通常包含了HTML以及用户端脚本语言。
XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。这些恶意网页程序通常是JavaScript，但实际上也可以包括Java， VBScript， ActiveX， Flash 或者甚至是普通的HTML。攻击成功后，攻击者可能得到包括但不限于更高的权限（如执行一些操作）、私密网页内容、会话和cookie等各种内容。
二常用的XSS攻击手段和目的
盗用 cookie ，获取敏感信息。
利用植入 Flash ，通过 crossdomain 权限设置进一步获取更高权限；或者利用Java等得到类似的操作。
利用 iframe、frame、XMLHttpRequest或上述Flash等方式，以（被攻击）用户的身份执行一些管理动作，或执行一些一般的如发微博、加好友、发私信等操作。
利用可被攻击的域受到其他域信任的特点，以受信任来源的身份请求一些平时不允许的操作，如进行不当的投票活动。
在访问量极大的一些页面上的XSS可以攻击一些小型网站，实现DDoS攻击的效果。
三漏洞的防御和利用
避免XSS的方法之一主要是将用户所提供的内容进行过滤，许多语言都有提供对HTML的过滤：

PHP的htmlentities()或是htmlspecialchars()。
Python的cgi.escape()。
ASP的Server.HTMLEncode()。
ASP.NET的Server.HtmlEncode()或功能更强的Microsoft Anti-Cross Site Scripting Library
Java的xssprotect(Open Source Library)。
Node.js的node-validator。
四 xssprotect
在Eclipse中通过svn检出项目源地址： http://xssprotect.googlecode.com/svn/trunk/如下图

通用使用方式： http://code.google.com/p/xssprotect/wiki/HowTouse

Java代码

package com.xss.example;
import java.io.IOException;
import java.io.StringReader;
import java.io.StringWriter;
import com.blogspot.radialmind.html.HTMLParser;
import com.blogspot.radialmind.html.HandlingException;
import com.blogspot.radialmind.xss.XSSFilter;
public class XSSTest {
public static void main(String[] args) {
String html = "<html><head> <title> New Document </title> " +
"<script type='text/javascript'> alert('dddd'); </script> " +
"</head> <body>" +
"222 <iframe src='www.google.com'/> 1111" +
"<embed ></embed>" +
"<link>ddd</link>" +
"</body></html>";
String v = protectAgainstXSS(html);
System.out.println(v);
}
public static String protectAgainstXSS( String html ) {
StringReader reader = new StringReader( html );
StringWriter writer = new StringWriter();
String text = null;
try {
// Parse incoming string from the "html" variable
HTMLParser.process( reader, writer, new XSSFilter(), true );
// Return the parsed and cleaned up string
text = writer.toString();
} catch (HandlingException e) {
// Handle the error here in accordance with your coding policies...
}finally{
try {
writer.close();
reader.close();
} catch (IOException e) {
e.printStackTrace();
}
}
return text;
}
}

package com.xss.example;

import java.io.IOException;
import java.io.StringReader;
import java.io.StringWriter;

import com.blogspot.radialmind.html.HTMLParser;
import com.blogspot.radialmind.html.HandlingException;
import com.blogspot.radialmind.xss.XSSFilter;

public class XSSTest {

	public static void main(String[] args) {
		String html = "<html><head> <title> New Document </title> " +
				"<script type='text/javascript'>  alert('dddd');   </script> " +
				"</head> <body>" +
				"222 <iframe  src='www.google.com'/>  1111" +
				"<embed ></embed>" +
				"<link>ddd</link>" +
				"</body></html>";
		String v = protectAgainstXSS(html);
		System.out.println(v);

	}
	
	public static String protectAgainstXSS( String html ) {
	    StringReader reader = new StringReader( html );
	    StringWriter writer = new StringWriter();
	    String text = null;
	    try {
	        // Parse incoming string from the "html" variable
	        HTMLParser.process( reader, writer, new XSSFilter(), true );
	        // Return the parsed and cleaned up string
	        text =  writer.toString();
	    } catch (HandlingException e) {
	        // Handle the error here in accordance with your coding policies...
	    }finally{
	    	try {
				writer.close();
				reader.close();
			} catch (IOException e) {				
				e.printStackTrace();
			}	    	
	    }
	    return text;
	}
}

在它的源代码中有二个类需要关注下：
BaseTestCase.java

Java代码

public abstract class BaseTestCase extends TestCase {
protected void testExecute( String html, String result ) {
StringReader reader = new StringReader( html );
StringWriter writer = new StringWriter();
try {
HTMLParser.process( reader, writer, new XSSFilter(), true );
String buffer = new String( writer.toString() );
System.out.println( buffer );
assertEquals( result, buffer );
} catch (HandlingException e) {
e.printStackTrace();
fail( e.getMessage() );
}
}
}

public abstract class BaseTestCase extends TestCase {
	protected void testExecute( String html, String result ) {
		StringReader reader = new StringReader( html );
		StringWriter writer = new StringWriter();
		
		try {
			HTMLParser.process( reader, writer, new XSSFilter(), true );
			String buffer = new String( writer.toString() );
			System.out.println( buffer );
			assertEquals( result, buffer );
		} catch (HandlingException e) {
			e.printStackTrace();
			fail( e.getMessage() );
		}
	}
}

jiuai455

关注

0
点赞
踩
0

收藏

觉得还不错? 一键收藏
0
评论
XSS之xssprotect

参考资料 1 跨网站脚本 http://zh.wikipedia.org/wiki/XSS2 http://code.google.com/p/xssprotect/一跨网站脚本介绍跨网站脚本（Cross-site scripting，通常简称为XSS或跨站脚本或跨站脚本攻击）是一种网站应用程序的安全漏洞攻击，是代码注入的一种。它允许恶意用户将代码注入到网页上，其他用户
复制链接

扫一扫