JAVA代码审计-XSS漏洞分析

XSS漏洞，可不仅仅是弹窗这么简单，本篇先讲一讲触发该漏洞的形式，换一期讲一讲XSS的危害究竟有多大！

反射型XSS漏洞

反射型XSS漏洞是当攻击者添加恶意代码到网页请求中，该请求立即在用户浏览器中生成恶意响应结果，这种攻击往往需要用户先点击恶意链接才能完成。

一个简单的反射型XSS漏洞的Java代码示例可以如下：

Servlet代码：

javaCopy Codeimport javax.servlet.*;
import javax.servlet.http.*;
import java.io.*;
​
public class XSSExampleServlet extends HttpServlet {
​
    public void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        response.setContentType("text/html");
        PrintWriter out = response.getWriter();
​
        // 接收URL参数
        String name = request.getParameter("name");
        out.println("");
        out.println("
Welcome, " + name + "!
"); // 反射型XSS漏洞的产生
        out.println("");
​
        out.close();
    }
}

这个代码示例会将用户在URL中提供的"name"参数直接打印到页面上，这样攻击者就可以在URL中插入JavaScript代码。

例如，攻击者可以创建这样一个链接：http://yourwebsite.com/XSSExampleServlet?name=。

当一个用户点击这个链接后，服务器会返回一个包含恶意JavaScript代码的页面。这段JavaScript代码会在用户浏览器中执行，从而产生XSS攻击。

这只是一个简单的例子，实际上，攻击者可能插入的JavaScript代码可以更加复杂，可以窃取用户的cookie、会话信息等。

解决方案其实很简单，对于所有用户输入，都应该进行适当的编码或过滤。在Java中，可以使用一些库，如OWASP的Java Encoder库进行HTML编码。

存储型XSS漏洞

存储型XSS是一种攻击方式，其中攻击者将恶意脚本存储在服务器上，当另一个用户浏览到这个存储了恶意脚本的页面时，该脚本就会被浏览器执行。

以下是一个简单的存储型XSS漏洞的 Java 代码示例：

import javax.servlet.*;
import javax.servlet.http.*;
import java.io.*;
import java.sql.*;
​
public class XSSExampleServlet extends HttpServlet {
​
    public void doPost(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        response.setContentType("text/html");
        PrintWriter out = response.getWriter();
​
        String user = request.getParameter("username");
        String comment = request.getParameter("comment");
​
        // 将用户提交的评论存储到数据库中
        try {
            Class.forName("com.mysql.jdbc.Driver");
            Connection conn = DriverManager.getConnection("jdbc:mysql://localhost/testDB", "username", "password");
            Statement st = conn.createStatement();
            st.executeUpdate("INSERT INTO comments (user, comment) values ('" + user + "', '" + comment +"')");
            conn.close();
        } catch(Exception e) {
            System.out.println(e);
        }
​
        out.println("");
        out.println("
Thank you, " + user + ". Your comment has been submitted.
");
        out.println("");
​
        out.close();
    }
​
    public void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        response.setContentType("text/html");
        PrintWriter out = response.getWriter();
​
        // 在这里，我们会显示所有用户的评论
        // 未经过滤或者转义，直接从数据库取出的评论信息在页面上展示，就可能引发存储型 XSS 攻击。
        try {
            Class.forName("com.mysql.jdbc.Driver");
            Connection conn = DriverManager.getConnection("jdbc:mysql://localhost/testDB", "username", "password");
            Statement st = conn.createStatement();
            ResultSet rs = st.executeQuery("SELECT user, comment FROM comments");
            
            out.println("");
            out.println("
Comments
");
            while (rs.next()) {
                String user = rs.getString("user");
                String comment = rs.getString("comment");
                out.println("
" + user + " says:
");  // 在用户浏览器中显示用户的评论
                out.println("
" + comment + "
");
            }
            out.println("");
​
            conn.close();
        } catch(Exception e) {
            System.out.println(e);
        }
​
        out.close();
    }
}

在这个例子中，攻击者可以在comment字段中插入JavaScript代码。这段代码存储在数据库中，当其他用户查看评论时，这段JavaScript代码就会在他们的浏览器中执行。

为了防止XSS攻击，应对所有用户的输入进行合适的过滤或转义。比如可以使用OWASP Java Encoder类库对输出到HTML的文本进行编码，以防止恶意脚本被执行。

DOM 型 XSS 漏洞

DOM型XSS攻击是一种在客户端进行的XSS攻击，它是通过JavaScript操纵DOM（Document Object Model）实现的，利用的漏洞主要存在于JavaScript代码中。

​
Click the button to execute a function that will load a URL from the input field.
​

Try it
​

​

​

在上述例子中，用户输入在未经过滤/编码的情况下被直接插入到HTML中，这就为DOM型XSS攻击提供了机会。攻击者可以在输入字段中插入恶意JavaScript代码，如 ，点击按钮后，输入的恶意代码就会被执行。

这段JavaScript代码存在DOM型XSS攻击的漏洞。

代码的工作方式如下：

1. var pos = document.URL.indexOf("#")+1; 首先查找URL中"#"字符的位置，并取得其后面的一个位置。这一步尝试获取URL中的片段（fragment）部分，也就是"#"后的所有内容。

2. var name = document.URL.substring(pos, document.URL.length); 使用substring方法截取从"#"字符后开始到URL结束的部分，存入name变量。

3. document.write(name); 显示被存入的name变量。

4. eval("var a = " + name); 最后，创建一个名为a的新变量，其值为name变量的值。由于这里使用了 eval()函数，这就为DOM型XSS攻击打开了大门。

关于XSS攻击，攻击者可以在URL的"#"后添加一段JavaScript代码，如#1;alert('XSS');。当URL载入时，eval()函数将执行var a = 1;alert('XSS');这段代码，弹出一个包含文本'XSS'的对话框。

攻击payload示例

http://example.com#1;alert('XSS');