如何在所有.jsp文件中搜索某些标记和属性？

Question

我们在网站上发现了XSS问题。我的工作是现在通过所有源代码查找可能发生的其他地方。

我将搜索限制在特定的JSF问题上。但无论我想搜索什么，解决方案都应该有效。

基本上我想要一个JSF文件列表。我需要获得具有以下条件的列表：搜索具有<h:outputText标记并且在该标记中的所有* .jsp文件，具有“escape”属性和包含“{”的“value”属性

我还没有在工作中访问静态源代码分析器。

关于如何进行此类搜索的任何想法？

我的大多数搜索都涉及使用TextPad进行正则表达式搜索。但我希望有关于如何解决这个问题的更好的想法。

Answer 1

在escape="false"的{​​{1}}上搜索。这应该足够了。要修复XSS漏洞，您应该确保它不输出用户控制的输入，然后删除*.jsp属性。如果这个用户控制的输入意图以字面形式重新显示为HTML，那么您希望首先从mailcious标签中对其进行清理。另请参阅this answer。