XSS漏洞解析(二)

上篇我们讲了XSS的一些相关的内容，这篇我们就直接上代码demo解决实际问题吧。

主要的问题是xssfilter的编写，我们直接去网上找一下框架，一般有js，php，java等语言都有相关的XSS的相关支持框架，小编自己就用擅长的java来解决.

一、首先我下载了lucy-xss这个jar

二、demo例子如下:

import com.nhncorp.lucy.security.xss.XssFilter;
import com.nhncorp.lucy.security.xss.XssPreventer;
import com.nhncorp.lucy.security.xss.XssSaxFilter;

/**
 * XSS漏洞测试
 * @author mingge
 *
 */
public class TestXSS {
    
    public static void main(String[] args) {
        
        String dirty22= ""><script>alert('xss');</script>";// XSS漏洞
        String clean22 = XssPreventer.escape(dirty22);// 被转码后的数据
        System.out.println(clean22);
        System.out.println(XssPreventer.unescape(clean22));
        XssSaxFilter filter22 = XssSaxFilter.getInstance("lucy-xss-superset-sax.xml");
        String clean1 = "<TABLE class="NHN_Layout_Main" style="TABLE-LAYOUT: fixed" cellSpacing="0" cellPadding="0" width="743">"
                + "</TABLE>" + "<SPAN style="COLOR: #66cc99"></SPAN>";
        String filtered = filter22.doFilter(clean1);
        System.out.println(clean1);
        System.out.println(filtered);
        
        XssFilter filter = XssFilter.getInstance("lucy-xss-superset.xml");
        String dirty = "<img src="<img src=1\ onerror=alert(1234)>" onerror="alert('XSS')">";
        String expected = "<img src=""><!-- Not Allowed Attribute Filtered ( onerror=alert(1234)) --><img src=1\>" onerror="alert('XSS')"&gt;";
        String clean = filter.doFilter(dirty);
        System.out.println(expected);
        System.out.println(clean);

        dirty = "<img src='<img src=1\ onerror=alert(1234)>" onerror="alert('XSS')">";
        expected = "<img src=''><!-- Not Allowed Attribute Filtered ( onerror=alert(1234)) --><img src=1\>" onerror="alert('XSS')"&gt;";
        clean = filter.doFilter(dirty);
        System.out.println(expected);
        System.out.println(clean);
    }
}

这个demo很容易转码，是复合我们需求的。

这个框架的web配置如下：

<filter>
    <filter-name>xssEscapeServletFilter</filter-name>
    <filter-class>com.navercorp.lucy.security.xss.servletfilter.XssEscapeServletFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>xssEscapeServletFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

是不是很简单.

如果你想看源码，请参考:https://github.com/naver/lucy-xss-filter

day day up。。。