Java Filter로 XSS 처리

 Java Filter로 XSS 처리

• XSS(Cross Site Scripting) : 게시판, 웹 메일 등에 삽입된 악의적인 스크립트에 의해 페이지가 깨지거나 다른 사용자의 사용을 방해하거나 쿠키 및 기타 개인 정보를 특정 사이트로 전송시키는 공격.
  
  
• 방어하려면 아래 3가지 파일 수정.
  
  

• CrossScriptingFilter.java

package com.greatwebguy.filter;

 

import java.io.IOException;

import javax.servlet.Filter;

import javax.servlet.FilterChain;

import javax.servlet.FilterConfig;

import javax.servlet.ServletException;

import javax.servlet.ServletRequest;

import javax.servlet.ServletResponse;

import javax.servlet.http.HttpServletRequest;

 

 

public class CrossScriptingFilter implements Filter {

 

    public void init(FilterConfig filterConfig) throws ServletException {

        this.filterConfig = filterConfig;

    }

 

    public void destroy() {

        this.filterConfig = null;

    }

 

    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)

        throws IOException, ServletException {

 

        chain.doFilter(new RequestWrapper((HttpServletRequest) request), response);

 

    }

 

}

• RequestWrapper.java

package com.greatwebguy.filter;

 

import javax.servlet.http.HttpServletRequest;

import javax.servlet.http.HttpServletRequestWrapper;

 

public final class RequestWrapper extends HttpServletRequestWrapper {

 

    public RequestWrapper(HttpServletRequest servletRequest) {

        super(servletRequest);

    }

 

    public String[] getParameterValues(String parameter) {

 

      String[] values = super.getParameterValues(parameter);

      if (values==null)  {

                  return null;

          }

      int count = values.length;

      String[] encodedValues = new String[count];

      for (int i = 0; i < count; i++) {

                 encodedValues[i] = cleanXSS(values[i]);

       }

      return encodedValues;

    }

 

    public String getParameter(String parameter) {

          String value = super.getParameter(parameter);

          if (value == null) {

                 return null;

                  }

          return cleanXSS(value);

    }

 

    public String getHeader(String name) {

        String value = super.getHeader(name);

        if (value == null)

            return null;

        return cleanXSS(value);

 

    }

 

    private String cleanXSS(String value) {

                //You'll need to remove the spaces from the html entities below

        value = value.replaceAll("<", "& lt;").replaceAll(">", "& gt;");

        value = value.replaceAll("\\(", "& #40;").replaceAll("\\)", "& #41;");

        value = value.replaceAll("'", "& #39;");

        value = value.replaceAll("eval\\((.*)\\)", "");

        value = value.replaceAll("[\\\"\\\'][\\s]*javascript:(.*)[\\\"\\\']", "\"\"");

        value = value.replaceAll("script", "");

        return value;

    }

}

• web.xml

<filter>

    <filter-name>XSS</filter-name>

    <filter-class>com.greatwebguy.filter.CrossScriptingFilter</filter-class>

</filter>

<filter-mapping>

    <filter-name>XSS</filter-name>

    <url-pattern>/*</url-pattern>

</filter-mapping>