捕获XSS(跨站点脚本)攻击的最佳正则表达式(在Java中)？

作者：虎仔球妈_459 | 2023-09-06 10:17

如何解决《捕获XSS(跨站点脚本)攻击的最佳正则表达式(在Java中)？》经验，为你挑选了1个好方法。

杰夫实际上在Sanitize HTML中发布了这个.但他的例子是在C#中,我实际上对Java版本更感兴趣.有没有人有更好的Java版本？他的例子是否足以直接从C#转换为Java？

[更新]我已经对这个问题表示了赏心悦目,因为当我问这个问题时,SO并不那么受欢迎(*).至于与安全相关的任何事情,人们对它的看法越多,它就越好!

(*)事实上,我认为它仍处于封闭测试阶段

1> Chase Seiber..：

不要使用正则表达式执行此操作.请记住,您不是仅仅针对有效的HTML进行保护; 您正在防范Web浏览器创建的DOM.可以很容易地欺骗浏览器从无效的HTML生成有效的DOM.

例如,请参阅此混淆的XSS攻击列表.你准备好定制一个正则表达式来防止在IE6/7/8上对Yahoo和Hotmail进行现实攻击吗？

这个攻击在IE6上运行怎么样？

如何在本网站上未列出的攻击？杰夫的方法存在的问题是,它不是白名单,正如声称的那样.正如该页面上的某人熟练地指出:

它的问题是,html必须是干净的.在某些情况下你可以传入被黑客入侵的html,并且它不会匹配它,在这种情况下它会返回被黑客攻击的html字符串,因为它不匹配任何要替换的内容.这不是严格的白名单.

我会建议像AntiSamy这样的专用工具.它的工作原理是实际解析HTML,然后遍历DOM并删除不在可配置白名单中的任何内容.主要区别在于能够优雅地处理格式错误的HTML.

最好的部分是它实际上对上述站点上的所有XSS攻击进行单元测试.此外,有什么比这个API调用更容易:

public String toSafeHtml(String html) throws ScanException, PolicyException {

    Policy policy = Policy.getInstance(POLICY_FILE);
    AntiSamy antiSamy = new AntiSamy();
    CleanResults cleanResults = antiSamy.scan(html, policy);
    return cleanResults.getCleanHTML().trim();
}

推荐阅读

程序员
Flexbox包装Safari中第一行的最后一列

如何解决《Flexbox包装Safari中第一行的最后一列》经验，为你挑选了4个好方法。 ... [详细]
程序员
如何找到具有相同值的三个连续行

如何解决《如何找到具有相同值的三个连续行》经验，为你挑选了0个好方法。 ... [详细]
程序员
Codeigniter php7错误

如何解决《Codeigniterphp7错误》经验，为你挑选了1个好方法。 ... [详细]
程序员
使用"if let"与逻辑"或"运算符

如何解决《使用"iflet"与逻辑"或"运算符》经验，为你挑选了2个好方法。 ... [详细]
程序员
如何对齐Kindle(KF8)的表格数据

如何解决《如何对齐Kindle(KF8)的表格数据》经验，为你挑选了0个好方法。 ... [详细]
程序员
Jframe setDefaultCloseOperation不起作用

如何解决《JframesetDefaultCloseOperation不起作用》经验，为你挑选了1个好方法。 ... [详细]
程序员
当字符串默认不可变时,如何描述可变字符串？

如何解决《当字符串默认不可变时,如何描述可变字符串？》经验，为你挑选了1个好方法。 ... [详细]
程序员
如何在Erlang中获取fread一个没有""的字符串

如何解决《如何在Erlang中获取fread一个没有""的字符串》经验，为你挑选了1个好方法。 ... [详细]
程序员
无法从其DataSource获取单元格

如何解决《无法从其DataSource获取单元格》经验，为你挑选了3个好方法。 ... [详细]
程序员
ImportError:在安装的应用程序中输入'registration'时无法导入名称RequestSite

如何解决《ImportError:在安装的应用程序中输入'registration'时无法导入名称RequestSite》经验，为你挑选了2个好方法。 ... [详细]
程序员
postgres数组字段上的ActiveAdmin过滤器

如何解决《postgres数组字段上的ActiveAdmin过滤器》经验，为你挑选了0个好方法。 ... [详细]
程序员
Symfony 2：如何覆盖另一个捆绑软件的存储库

如何解决《Symfony2：如何覆盖另一个捆绑软件的存储库》经验，为你挑选了0个好方法。 ... [详细]
程序员
react:从父组件调用子组件的方法

如何解决《react:从父组件调用子组件的方法》经验，为你挑选了0个好方法。 ... [详细]
程序员
Android Dagger 2和MVP注入一个注入的对象

如何解决《AndroidDagger2和MVP注入一个注入的对象》经验，为你挑选了1个好方法。 ... [详细]
程序员
Hostgator上的CHange php 5.4到5.5

如何解决《Hostgator上的CHangephp5.4到5.5》经验，为你挑选了1个好方法。 ... [详细]
程序员
将立方体贴图转换为Equirectangular全景图

如何解决《将立方体贴图转换为Equirectangular全景图》经验，为你挑选了1个好方法。 ... [详细]
程序员
在RxJava服务中管理事务性的正确方法是什么？

如何解决《在RxJava服务中管理事务性的正确方法是什么？》经验，为你挑选了1个好方法。 ... [详细]
程序员
确定与数组中的间隔匹配的值的最快方法

如何解决《确定与数组中的间隔匹配的值的最快方法》经验，为你挑选了0个好方法。 ... [详细]
程序员
phpexcel将qrcode插入excel并将其保存到客户端

如何解决《phpexcel将qrcode插入excel并将其保存到客户端》经验，为你挑选了1个好方法。 ... [详细]
程序员
ANTLR4中交替与测序的优先顺序

如何解决《ANTLR4中交替与测序的优先顺序》经验，为你挑选了1个好方法。 ... [详细]

虎仔球妈_459

这个屌丝很懒，什么也没留下！

关注作者

Tags | 热门标签

RankList | 热门文章

DevBox开发工具箱 | 专业的在线开发工具网站