JSF 中的 CSRF、XSS 和 SQL 注入攻击预防

Question

我有一个基于 JSF 构建的 Web 应用程序，并使用 MySQL 作为数据库。我已经在我的应用程序中实现了防止 CSRF 的代码。

现在，由于我的底层框架是 JSF，我想我不必处理 XSS 攻击，因为它已经由 UIComponent 处理了。我没有在任何视图页面中使用任何 JavaScript。即使我使用，我真的需要实现代码来防止 XSS 攻击吗？

对于数据库，我们在所有数据库交互中使用准备好的语句和存储过程。

为了防止这 3 种常见攻击，还需要采取其他措施吗？ 我已经浏览过 OWASP 网站及其 备忘单。

我需要注意任何其他潜在的攻击媒介吗？

Answer 1

XSS

JSF 旨在具有内置的 XSS 预防功能。您可以使用以下命令安全地重新显示所有用户控制的输入（请求标头（包括 cookie！）、请求参数（以及保存在数据库中的参数！）和请求正文（上传的文本文件等））任何 JSF 组件。

<h:outputText value="#{user.name}" />
<h:outputText value="#{user.name}" escape="true" />
<h:inputText value="#{user.name}" />
etc...

请注意，当您在 Facelets 上使用 JSF 2.0 时，您可以在模板文本中使用 EL，如下所示：

<p>Welcome, #{user.name}</p>

这也将被隐式转义。这里不一定需要 。

仅当您使用 escape="false" 显式取消转义用户控制的输入时：

<h:outputText value="#{user.name}" escape="false" />

那么您就有潜在的 XSS 攻击漏洞！

如果您希望将用户控制的输入重新显示为 HTML，其中您希望仅允许 HTML 标记的特定子集，例如 、 、 等，那么您需要通过白名单来清理输入。 HTML 解析器 Jsoup 非常对此有帮助。

Mojarra 中的 itemLabelEscaped 错误 itemLabelEscaped 2.2.6

2.2.6 之前的旧版 Mojarra 存在以下错误：当提供 List 时， 会错误地呈现未转义的标签。 通过 而不是 List 或SelectItem[] 作为值（问题 3143）。换句话说，如果您通过 List 将用户控制的数据重新显示为项目标签，则存在潜在的 XSS 漏洞。如果无法升级到至少 Mojarra 2.2.6，则您需要将 itemLabelEscaped 属性显式设置为 true 以防止出现这种情况。

<f:selectItems value="#{bean.entities}" var="entity" itemValue="#{entity}"
    itemLabel="#{entity.someUserControlledProperty}" itemLabelEscaped="true" />

---

CSRF

JSF 2.x 已经在使用服务器端状态保存时以 javax.faces.ViewState 隐藏字段的形式内置了 CSRF 预防功能。在 JSF 1.x 中，这个值非常弱并且太容易预测（实际上它从来没有被设计为 CSRF 预防）。在 JSF 2.0 中，通过使用长而强的自动生成值而不是相当可预测的序列值，这一点得到了改进，从而使其成为强大的 CSRF 预防措施。

在 JSF 2.2 中，这一点甚至得到了进一步改进，使其成为 JSF 规范的必需部分，并在启用客户端状态保存的情况下使用可配置的 AES 密钥来加密客户端状态。另请参阅 JSF 规范问题 869 和 在其他会话 (CSRF) 中重用 ViewState 值。 JSF 2.2 中的新功能是对 <受保护的视图>。

仅当您使用无状态视图（如 中的情况），或者应用程序中存在 XSS 攻击漏洞时，才会存在潜在的 CSRF 攻击漏洞。

---

SQL 注入

这不是 JSF 的责任。如何防止这种情况取决于您使用的持久性 API（原始 JDBC、现代 JPA 或优秀的 Hibernate），但归根结底，您不应该将用户控制的输入连接到 SQL 字符串中，例如所以

String sql = "SELECT * FROM user WHERE username = '" + username + "' AND password = md5(" + password + ")";
String jpql = "SELECT u FROM User u WHERE u.username = '" + username + "' AND u.password = md5('" + password + "')";

想象一下如果最终用户选择以下名称会发生​​什么：

x'; DROP TABLE user; --

您应该始终在适用的情况下使用参数化查询。

String sql = "SELECT * FROM user WHERE username = ? AND password = md5(?)";
String jpql = "SELECT u FROM User u WHERE u.username = ?1 AND u.password = md5(?2)";

在普通 JDBC 中，您需要使用 PreparedStatement 来填充参数值，在 JPA（和 Hibernate）中，查询 对象也为此提供了设置器。

Answer 2

我没有在任何视图页面中使用任何 JavaScript。即使我使用，我真的需要实现代码来绕过 XSS 攻击吗？

即使您不在页面中使用 JavaScript，您也可能容易受到 XSS 攻击。当您合并由攻击者控制的内容而未对其进行正确编码时，就会发生 XSS。

每当您执行诸如

response.write("<b>" + x + "</b>")

攻击者可能导致 x 包含包含 JavaScript 的 HTML 之类的操作时，您就很容易受到 XSS 的攻击。

解决方案通常是不要编写大量代码。通常，解决方案是先对 $x 和攻击者控制的任何其他值进行编码，然后再将它们包含在您生成的 HTML 中。

response.write("<b>" + escapePlainTextToHtml(x) + "</b>")

过滤或清理输入有助于提供额外的保护层。

您还可以使用自动编码输出的模板语言来防止 XSS。

闭包模板就是 Java 的此类选项之一。

上下文自动转义通过增强闭包模板来根据每个动态值出现的上下文对其进行正确编码，从而防御攻击者控制的值中的 XSS 漏洞。

编辑

由于您使用的是 JSF，因此您应该阅读 JSF 中的 XSS 缓解 :

转义输出文本

和 默认情况下将 escape 属性设置为 True。通过使用此标签显示输出，您可以缓解大部分 XSS 漏洞。

SeamT​​extParser 和

如果您希望允许用户使用一些基本的 html 标签来自定义他们的输入，JBoss Seam 提供了一个 标签，该标签允许使用一些基本的 html 标签和用户指定的样式。

Answer 3

当将 与未转义值（例如来自 html 文本编辑器）一起使用时，您很容易遭受令人讨厌的 XSS 攻击。在这种情况下，我使用 JSF 转换器，它使用 Jsoup 从文本中删除 javascript，而保持 HTML 完好无损。转换器也可用于清理用户输入。您可以像这样使用它：

以及转换器本身：

/**
 * Prevents from XSS attack if output text is not escaped.
 */
@FacesConverter("htmlSanitizingConverter")
public class HtmlSanitizingConverter implements Converter {

    private static final Whitelist JSOUP_WHITELIST = Whitelist.relaxed()
            .preserveRelativeLinks(true)
            .addAttributes(":all","style");
            /*
             Optionally - add support for hyperlinks and base64 encoded images.
            .addTags("img")
            .addAttributes("img", "height", "src", "width")
            .addAttributes("a", "href")
            .addProtocols("img", "src", "http", "https", "data");
            */

    @Override
    public Object getAsObject(FacesContext context, UIComponent component, String submittedValue) {
        return (submittedValue != null) ? Jsoup.clean(submittedValue, JSOUP_WHITELIST) : null;
    }

    @Override
    public String getAsString(FacesContext context, UIComponent component, Object value) {
        return (value != null) ? Jsoup.clean(value.toString(), JSOUP_WHITELIST) : "";
    }

}

注意：
当您将 JSF 与 PrimeFaces 结合使用时，请注意 - 旧版本（6.2 之前的版本）默认情况下不会清理用户输入。