存储的 xss 安全威胁

Question

我们正在研究安全预防，并且在下面的代码中，缓冲区正在提供存储的XSS攻击……下面是我们从Checkmark工具获得的信息。

methodtest从数据库中获取缓冲区元素的数据。然后，该元素的值在没有正确过滤或编码的情况下流过代码，最终在methodtest中显示给用户。这可能会启用存储跨站点脚本攻击。

private void test(HttpServletResponse response, SessionInfo sessionInfo, String applicationName, String resourceName, String resourcePath, String domainAddress, String siteAddress, String fileNames) throws KatalystServletException, IOException, FSException
{
    InputStream in = resourceFile.getInputStream();
    ZipOutputStream zipOut = null;
    try {
        byte[] buffer = new byte[8 * 1024];
        int bytesRead = 0;
        while ((bytesRead = in.read(buffer)) != -1) {
            zipOut.write(buffer, 0, bytesRead);
        }
    } finally {
        in.close();
        zipOut.flush();
    }
}

Answer 1

以下是该问题的解决方案，也是 Java 中由 Checkmarx 标记HRA_JAVA_CGI_STORED_XSS或存储的 XSS 漏洞的解决方案。

对于使用 byte[] 数组作为缓冲区的任何 Java 文件操作，检查marx 都会标记此问题。

在写入任何输出流之前，您需要消毒双手（悲伤的脸）以及字节数组。您可以使用 ESAPI 的验证程序函数来修复此问题。

将ESAPI jar添加到您的项目中

   <dependency>
        <groupId>org.owasp.esapi</groupId>
        <artifactId>esapi</artifactId>
        <version>2.2.2.0</version>
    </dependency>

import org.owasp.esapi.*;

在写入输出流之前，在你的情况下，一个Zip输出流，我们需要使用getValidFile内容（字符串上下文，字节[]输入，整数最大字节，布尔允许Null）过滤字节数组缓冲区

此方法检查是否存在任何文件结尾漏洞攻击、文件损坏攻击或其他入侵攻击（我找不到关于这些攻击的太多信息，如果找到更多信息，将进行更新。）

https://javadoc.io/doc/org.owasp.esapi/esapi/2.2.2.0/org/owasp/esapi/Validator.html#getValidFileContent-java.lang.String-byte:A-int-boolean-

private void test(HttpServletResponse response, SessionInfo sessionInfo, String applicationName, String resourceName, String resourcePath, String domainAddress, String siteAddress, String fileNames) throws KatalystServletException, IOException, FSException
{
    InputStream in = resourceFile.getInputStream();
    ZipOutputStream zipOut = null;
    try {
        byte[] buffer = new byte[8 * 1024];
        int bytesRead = 0;
        while ((bytesRead = in.read(buffer)) != -1) {

      // HERE IS THE MAGIC LINE
      buffer=ESAPI.validator().getValidFileContent("blah blah",buffer,8192,true);
      //TADA

            zipOut.write(buffer, 0, bytesRead);
        }
    } finally {
        in.close();
        zipOut.flush();
    }
}

我对Util方法也有类似的问题，它被标记在8个位置。修复后，所有问题都得到了解决。

我还建议使用try catch finally块并关闭“finally”部分中的InputStreams和OutputStreams，或者您可以使用“Try with Resources”。

不关闭这些流在另一个代码扫描中被标记为“资源匮乏”——未释放的资源可能会导致系统变慢，并使其他组件的内存不足。