Question

我正在尝试使用struts 1.3.8实现HDIV。我已经在pom文件和监听器中添加了依赖项，在web.xml文件中进行了过滤。

令牌_HDIV_STATE_注入每个页面，链接.. 因此，为了测试它是否正如预期的那样对抗CSRF攻击，我在应用程序外部创建了一个小的html页面，它将数据发送到应用程序以修改某些数据以模拟CSRF攻击。

测试不幸成功，因为目标数据已被修改。当我检查日志时，似乎HDIV检测到该请求不包含_HDIV_STATE_但它没有取消它并重定向到errorpage或其他东西。

我的配置错了，或者我不明白当请求中不存在令牌时HDIV会做什么？

感谢您的帮助

的pom.xml：

<dependency>
            <groupId>org.hdiv</groupId>
            <artifactId>hdiv-config</artifactId>
            <version>2.1.12</version>
</dependency>
<dependency>
            <groupId>org.hdiv</groupId>
            <artifactId>hdiv-struts-1</artifactId>
            <version>2.1.12</version>
</dependency>
<dependency>
            <groupId>org.hdiv</groupId>
            <artifactId>hdiv-jstl-taglibs-1.2</artifactId>
            <version>2.1.12</version>
</dependency>

的web.xml

<listener>
    <listener-class>org.hdiv.listener.InitListener</listener-class>
</listener>
<filter>
    <filter-name>ValidatorFilter</filter-name>
    <filter-class>org.hdiv.filter.ValidatorFilter</filter-class>
</filter>
<filter-mapping>
    <filter-name>ValidatorFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

<jsp-config>
<taglib>
    <taglib-uri>/WEB-INF/tld/struts-html-el.tld</taglib-uri>
    <taglib-location>/WEB-INF/tld/hdiv-html-el.tld</taglib-location>
</taglib>

<taglib>
    <taglib-uri>/WEB-INF/tld/struts-logic-el.tld</taglib-uri>
    <taglib-location>/WEB-INF/tld/hdiv-logic-el.tld</taglib-location>
</taglib>

<taglib>
    <taglib-uri>/WEB-INF/tld/c.tld</taglib-uri>
    <taglib-location>/WEB-INF/tld/hdiv-c.tld</taglib-location>
</taglib>
</jsp-config>

HDIV-config.hml

<?xml version="1.0" encoding="UTF-8"?>
<beans xmlns="http://www.springframework.org/schema/beans" 
       xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" 
       xmlns:hdiv="http://www.hdiv.org/schema/hdiv" 
       xsi:schemaLocation="http://www.springframework.org/schema/beans 
                           http://www.springframework.org/schema/beans/spring-beans-3.2.xsd 
                           http://www.hdiv.org/schema/hdiv 
                           http://www.hdiv.org/schema/hdiv/hdiv.xsd">

    <hdiv:config excludedExtensions="css,png,gif,jpeg,jpg,js" errorPage="/error.jsp" 
                 maxPagesPerSession="2" debugMode="true">
        <hdiv:sessionExpired loginPage="/index.jsp" homePage="/"/>
        <hdiv:startPages>/index.jsp</hdiv:startPages>
    </hdiv:config>

</beans>

Answer 1

您在hdiv-config.xml中激活了debugMode：

来自HDIV Reference Documentation：

HDIV提供调试执行模式，以便在生产环境中应用HDIV，而不会出现任何功能或集成问题。换句话说，HDIV处理并验证所有请求，但不会更改请求的原始执行，只记录可能的攻击但不停止它。

尝试禁用debugMode。

费尔南多·洛扎诺（HDIV队）

HDIV：HDIV_PARAMETER_NOT_EXISTS时不重定向到errorpage

1 个答案: