BufferedReader readLine（）方法上的反射XSS

Question

我已经使用Checkmarx工具扫描了一个java Web项目，并且分析在执行响应JSON的Web服务的方法中标记了XSS漏洞，该漏洞位于行中（（输出= 编码.forJava（br.readLine（））！= null） {，特别是在br.readLine（）中。

Checkmarx说：

攻击者只需在用户输入< code>readLine中提供修改后的数据，就可以更改返回的网页，该数据由< code>NetClientPost方法读取。然后，该输入通过代码直接流向输出网页，无需净化。这可能会导致反射跨站点脚本(XSS)攻击。

我尝试了OWASP for Java，实现了方法Encode。forJava（），但该漏洞继续出现在分析中。这是方法的实现：

public String NetClientPost (String urlSer, String param){
        String result ="";
        try {
            InetAddress ip = InetAddress.getLocalHost();
            String host = ip.getHostAddress();
            doTrustToCertificates();
            URL url = new URL(urlSer);
            HttpURLConnection conn = (HttpURLConnection) url.openConnection();
            conn.setDoOutput(true);
            conn.setRequestMethod("POST");
            conn.setRequestProperty("Content-Type", "application/json");
            conn.setConnectTimeout(2000);
            String input = param;
            String output = "";

            try(OutputStream os = conn.getOutputStream()) {
                os.write(input.getBytes());
                os.flush();
                if (conn.getResponseCode() != 200) {
                    throw new RuntimeException("Failed : HTTP  code : " + conn.getResponseCode());
                }
                
                try (BufferedReader br = new BufferedReader(new InputStreamReader((conn.getInputStream())))) {
                    while ((output = Encode.forJava(br.readLine())) != null) {//LINE OF CHECKMARX XSS
                        result += output;
                    }
                }
            }
            
            conn.disconnect();
            return result;

        } catch (MalformedURLException e) {
            return result;
        } catch (IOException e) {
            return result;
        } catch (Exception e) {
            return result;
        }
    }

有人知道如何解决这个问题吗？

Answer 1

尝试将传入的数据解析为JSON，然后在发送之前将其序列化回字符串。

这样，您可以确保您的方法只向客户端返回JSON。如果由于某种原因，传入的数据不是JSON，那么您的方法在解析JSON时会遇到错误，您可以适当地处理该错误。

< code>Encode.forJava在这里不是一个有用的方法:它用于对要插入到Java字符串文字中的字符串进行编码。