XSS 여러 개의 디렉토리 공격 Struts 1.2

Question

각기 다른 구성 응용 프로그램이 포함 된 struts 1.2 응용 프로그램이 있으며 각 응용 프로그램마다 고유 한 구성 파일이 있습니다. 내가 가진 문제는 XSS 공격이다. 각 앱은 다음과 같이 설정됩니다.

http://www.myapp.com/app/app1/welcome.action 
http://www.myapp.com/app/app2/welcome.action 
http://www.myapp.com/app/app3/welcome.action 

여기서 app1, app2 및 app3은 폴더입니다. 내가 가진 문제는 사용자가 사이트에 XSS 공격을 유발 ...

http://www.myapp.com/app/app1<img src=a onerror=alert("alert")>/welcome.action 

다음을 수행 할 수 있다는 것입니다. 문제는 "app1"이 악의적 인 코드를 막기 위해 서블릿 필터를 사용할 수없는 폴더이기 때문입니다. 누구 한테 조언 하나?

Answer 1

서블릿 필터를 생성하고 체인의 첫 번째 필터로 URL 패턴 /*으로 매핑하십시오. 그런 다음 모든 요청이이 필터를 통해 라우팅됩니다. filter.doFilter()에서 "<"과 같은 특수 문자를 처리하십시오. OWASP ESAPI (java) 프로젝트에서 다음을 처리하는 것이 더 좋습니다. http://code.google.com/p/owasp-esapi-java/