CheckMarkx：：HRA\u JAVA\u CGI\u REFLECTED\u XSS\u ALL\u客户端问题

Question

我正在与CheckMarx漏洞之一作斗争。我需要一些指导来支持这一点。以下是我的代码：

try(Bufferedreader in = new BufferedReader(new InputStreamReader(con.getInputStream()))){
    String content = null;
    while((content = in.readLine()) != null) {
        // Logic to Parse JSON data and use it.
    }     
}

这里con是（HttpurlConnection）新URL（“一些URL”）。openConnection（）。

所以，checkmarx在《in》中强调了这个问题。readLine（）。

我尝试的变通方法：

1： StringEscape eUtils.unescapeJson（in.readLine（）），这没有帮助。

2： 在中使用。线条（）。collect（Collectors.joining（））代替in。readline（）通过在谷歌的某个地方阅读。它帮助解决了这个问题，但在大会上引入了一个新的。getInputStream（）（相同的漏洞）。

请帮助解决此问题。提前谢谢。

Answer 1

从技术上讲，它应该是StringEscape eUtils.escapeJson（in.readLine（））而不是StringEscape eUtils.unescapeJson（in.readLine（））。目的是输出编码以防止XSS，而不是相反。

try(Bufferedreader in = new BufferedReader(new InputStreamReader(con.getInputStream()))){
    String content = null;
    while((content = StringEscapeUtils.escapeJson(in.readLine())) != null) {
        // Logic to Parse JSON data and use it.
    }     
}

尽管如此，我认为Checkmarx不会将其视为消毒剂，我只能看到它只在StringEscapeUtils下查找escapeXml、escapeHtml、escapeHtml L3、escapeHtml L4方法。

与您的安全团队合作更新Checkmarx查询以包含逃逸Json，或者您可以使用Checkmarx识别的替代方法，例如替换恶意标签的替换方法