Question

我使用过滤器来修复XSS。但是当我使用fortify软件扫描我的代码时，XSS问题的数量并没有改变。我错过了什么？或者Fortify无法识别过滤器？以下是我的过滤器代码：

public final class RequestWrapper extends HttpServletRequestWrapper {

public RequestWrapper(HttpServletRequest servletRequest) {
    super(servletRequest);
}

public String[] getParameterValues(String parameter) {

  String[] values = super.getParameterValues(parameter);
  if (values==null)  {
              return null;
      }
  int count = values.length;
  String[] encodedValues = new String[count];
  for (int i = 0; i < count; i++) {
             encodedValues[i] = cleanXSS(values[i]);
   }
  return encodedValues;
}

public String getParameter(String parameter) {
      String value = super.getParameter(parameter);
      if (value == null) {
             return null;
              }
      return cleanXSS(value);
}

public String getHeader(String name) {
    String value = super.getHeader(name);
    if (value == null)
        return null;
    return cleanXSS(value);

}

private String cleanXSS(String value) {
    System.out.println("filter  : " + value);
    //System.out.println("afterfilter  : " + (isNotEmptyOrNull(value) ? StringEscapeUtils.escapeHtml4(value) : value));
    //return isNotEmptyOrNull(value) ? StringEscapeUtils.escapeHtml4(value) : value; 
    if(isNotEmptyOrNull(value)){
        value = value.replaceAll("<", "&lt;").replaceAll(">", "&gt;");
        value = value.replaceAll("\\(", "&#40;").replaceAll("\\)", "&#41;");
        value = value.replaceAll("'", "&#39;");
        value = value.replaceAll("eval\\((.*)\\)", "");
        value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");
        value = value.replaceAll("script", "");
    }
    System.out.println("afterfilter  : " +value);
    return value;
}
public static boolean isNotEmptyOrNull(String string) {
    if (string != null && !"".equals(string.trim())) {
        return true;
    }
    return false;
}

}

Answer 1

这里的问题是Fortify没有针对您的cleanXSS方法的规则。您需要做的是编写自定义规则，特别是＆＃34;数据流清理规则＆＃34;。这将使fortify知道从XSS进入然后返回的任何数据都是安全的。

然而，在查看XSS过滤器之后，我必须告知您它不完整，并且不会考虑所有可能的XSS向量。我建议您使用OWASP ESAPI的XSS过滤器。 Fortify已经有了ESAPI规则。

Fortify可以识别servlet过滤器吗？

1 个答案: