WEB开发安全漏洞原因分析及解决

3 XSS跨站脚本编制3.1 原因它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意用户的特殊目的。

XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常忽略其危害性。

3.2 解决在防止这类问题时，输入内容的转义效果远比内容过滤要好。

具体实施可以增加一个request的转码过滤器。

代码：import java.io.IOException;import .URLDecoder;import java.util.Iterator;import java.util.Map;import javax.servlet.Filter;import javax.servlet.FilterChain;import javax.servlet.FilterConfig;import javax.servlet.ServletException;import javax.servlet.ServletRequest;import javax.servlet.ServletResponse;import javax.servlet.http.HttpServletRequest;import ng.StringEscapeUtils;/*** Servlet Filter implementation class SqlEscapeFilter*/public class SqlEscapeFilter implements Filter{/*** Default constructor.*/public SqlEscapeFilter() {}/*** @see Filter#destroy()*/public void destroy() {}/*** @see Filter#doFilter(ServletRequest, ServletResponse, FilterChain)*/public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {HttpServletRequest hreq = (HttpServletRequest)request;Map map = hreq.getParameterMap();Iterator itr = map.keySet().iterator();while( itr.hasNext() ){String key = itr.next().toString();String [] values = hreq.getParameterValues(key);if( values != null ){for( int i = 0; i < values.length; i++ ){if(!key.equals("password")){values[i] = cleanXSS(values[i]);}}if(values.length>1){hreq.setAttribute(key, values);}else{hreq.setAttribute(key, values[0]);}}}chain.doFilter(request, response);}/*** @see Filter#init(FilterConfig)*/public void init(FilterConfig fConfig) throws ServletException {}private String cleanXSS(String value) throws IOException{String coverValue=URLDecoder.decode(value,"utf-8");coverValue = coverValue.replaceAll("<", "&lt;").replaceAll(">", "&gt;");coverValue = coverValue.replaceAll("\\(", "& #40;").replaceAll("\\)", "&#41;");coverValue = coverValue.replaceAll("'", "&#39;");coverValue = coverValue.replaceAll("eval\\((.*)\\)", "");coverValue = coverValue.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");coverValue = coverValue.replaceAll("script", "");if(!value.equals(coverValue)){coverValue=URLDecoder.decode(coverValue,"utf-8");}return StringEscapeUtils.escapeJavaScript(coverValue);}}配置应用中的web.xmlWeb.xml:<filter><display-name>SqlEscapeFilter</display-name><filter-name>SqlEscapeFilter</filter-name><filter-class>com.hna.hka.so.web.filter.SqlEscapeFilter</filter-class></filter><filter-mapping><filter-name>SqlEscapeFilter</filter-name><url-pattern>*.jsp</url-pattern></filter-mapping><filter-mapping><filter-name>SqlEscapeFilter</filter-name><url-pattern>*.action</url-pattern></filter-mapping>4 XSRF跨站请求伪造4.1 原因CSRF利用方式比较类似XSS(跨站脚本 Cross Site Scripting) ,不过不同的是CSRF是构造一个提交来让其他人访问后,利用站点对这些人的信任来进行一些所期望的操作.比如:A和B在同一个有XSS漏洞的站点C,B登录过D站点,并且有这个D站点的Cookies,这时候如果A构造一个CSRF,内容为给 A在D站点的账户转移一些虚拟币,如果这时候在C站点浏览的B用户打开了A构造的含有CSRF的页面,这时候B的D站点用户会因为对B用户的信任而进行给 A转账的操作.4.2 解决此类攻击的情景相对的比较复杂，具体解决可以参考以下5点：第一：限制验证cookie的到期时间。

这些cookie的合法时间越短，黑客利用你的Web应用程序的机会就越小。

不过，这个时间越短，用户就越不方便。

因此，你需要在安全性和方便性之间进行平衡。

第二：执行重要业务之前，要求用户提交额外的信息。

要求用户在进行重要业务前输入口令，这可以防止黑客发动CSRF攻击(只要浏览器中没有包含口令)，因为这种重要信息无法预测或轻易获级数下降（可以很轻松的让你的CPU升到100%）。

Apache Tomcat 拒绝服务（CVE-2012-0022）受影响版本：•Tomcat 7.0.0 ~ 7.0.22•Tomcat 6.0.0 ~ 6.0.33•Tomcat 5.5.0 ~ 5.5.3418.2 解决•Tomcat 7.0.x 用户请升级至 7.0.23 或以上版本•Tomcat 6.0.x 用户请升级至6.0.35 或以上版本•Tomcat 5.5.x 用户请升级至5.5.35 或以上版本19 会话cookie中缺少HttpOnly属性19.1 原因检测到所测试的 Web 应用程序设置了不含“HttpOnly”属性的会话 cookie。

由于此会话cookie 不包含“HttpOnly”属性，因此注入站点的恶意脚本可能访问此 cookie，并窃取它的值。

任何存储在会话令牌中的信息都可能被窃取，并在稍后用于身份盗窃或用户伪装。

如果使用了以下解决方法，那么通过js脚本将无法读取到cookie信息19.2 解决import java.io.IOException;import javax.servlet.Filter;import javax.servlet.FilterChain;import javax.servlet.FilterConfig;import javax.servlet.ServletException;import javax.servlet.ServletRequest;import javax.servlet.ServletResponse;import javax.servlet.http.HttpServletRequest;import javax.servlet.http.HttpServletResponse;public class HttpOnlyFilter implements Filter {public void destroy() {}public void doFilter(ServletRequest req, ServletResponse res, FilterChain chain) throws IOException, ServletException {HttpServletRequest request = (HttpServletRequest) req;HttpServletResponse response = (HttpServletResponse) res;// 强制使用以下only 逻辑~String sessionid = request.getSession().getId();。