【思科技术】xss漏洞和csrf漏洞防御

xss防御：

1、尽量少将域名的domain设为域名的根下面，减少分站xss漏洞对主站的影响；
2、对输入的数据进行过滤检查：
public static String htmlSpecialChars(final String s) {
3 I4 _  d: B/ |6 sString result = s;
result = regexReplace("&", "&", result);
result = regexReplace(""", """, result);
3 A+ o. ~  x  k9 Zresult = regexReplace("<", "<", result);
result = regexReplace(">", ">", result);
. X' g$ e+ O6 [  Freturn result;
3 F) x- N3 v  C/ w4 e7 J}
注意：CSS的行为方式也会有JavaScript的执行：
) f* s# l4 }' o" _
#content { height: expression_r(alert('test xss') ); }

0 K4 [8 V/ h7 {/ O' H) c  w7 g& a如果要支持html可以使用这个过滤器（附件，开源的）
例子
{
final ArrayList span_atts = new ArrayList();
7 ]4 ?4 p+ ^3 [5 ]1 ?Map allowedAttrValues = new HashMap();
1 a0 V. O) x$ Z4 R* T5 lallowedAttrValues.put(“color”, Pattern.compile(“(#([0-9a-fA-F]{6}|[0-9a-fA-F]{3}))”));
: w8 ~+ \4 i7 f! m  `allowedAttrValues.put(“font-weight”, Pattern.compile(“bold”));
allowedAttrValues.put(“text-align”, Pattern.compile(“(center|right|justify)”));
, j* S) x' x3 t. |, G1 Y# ]1 `, NallowedAttrValues.put(“font-style”, Pattern.compile(“italic”));
allowedAttrValues.put(“text-decoration”, Pattern.compile(“underline”));
allowedAttrValues.put(“margin-left”, Pattern.compile(“[0-9]+px”));
( F6 a- l0 \5 r0 }: kallowedAttrValues.put(“text-align”, Pattern.compile(“center”));
) Z, C5 |6 p1 t+ g7 V$ zspan_atts.add(new Attribute(“style”, allowedAttrValues));
vAllowed.put(“span”, span_atts);
}
- {3 e5 v4 \% i) Q+ j{
4 |4 P( e6 V+ ]0 M3 Z7 Zfinal ArrayList div_atts = new ArrayList();
div_atts.add(new Attribute(“class”));
; ~. T$ s$ \; F8 t" T4 @div_atts.add(new Attribute(“align”));
vAllowed.put(“div”, div_atts);
, l8 N3 o, K8 T* U% R3 W, ?}
* 2. 调用类似这样的函数String outHtml = HetaoBlogXssHTMLFilter.filter(sourceHtmlString);
1 [3 u+ t  i# Z. E$ g7 s! T7 P3、针对图片的上传需要检测是否是正确的图片格式是否是伪格式，图片服务器尽量不开启程序（java，php，.net)功能或对图片格式不做程序解析；
# _7 `8 R* o5 m; g& m" c防御CSRF：
在Web应用程序侧防御CSRF漏洞，一般都是利用referer判断输入端的url来源、或使用token或者使用JavaScript看不见的验证码；

学习了，谢谢分享、、、

路过,学习下,感谢攻城狮论坛

相当不错，感谢无私分享精神！

路过，支持一下啦

写的真的很不错

没看完~~~~~~ 先顶，好同志

支持一下:lol

帮你顶下哈！！