在JSP页面中逃脱JavaScript注入

Question

这个问题被标记为重复，但事实并非如此，所引用的问题根本没有解决JavaScript注入。到目前为止，下面提供的两个答案都完全忽略了我使用c：out tag的Escapexml属性的事实，但它行不通。问题是JavaScript不一定包含任何HTML字符。我需要能够防止可运行的JavaScript注入我的JSP代码。

我为通过代码扫描仪运行每个Web应用程序而开发的组织，以找到代码中可能包含的任何潜在漏洞。我们发现了几个，仅仅是因为我们的应用程序最初是在XSS漏洞是一回事之前就已经部署的。通常，这些问题很容易消除，因为在跨站点脚本和各种注入技术方面有很多工作。

技术是：Java 8，JSP，Spring，JavaScript，Oracle，

但是，我遇到了一个脆弱性，我几乎没有讨论...逃脱JavaScript注入。

我们有一个将字符串作为requestParam的URL： testapp.com?stringvalue = test

我们的漏洞检查器将警报注入requestParam： testapp.com？stringvalue = test'+ alert（ 6853）+'

所讨论的JSP页面使用＆lt; c：out value =“ $ {stringValue}” cassexml =“ true”/＆gt; 以输出所讨论的字符串。当页面渲染时，我们将获得一个JavaScript警报对话框，该对话框在页面上弹出，表明JavaScript注入成功。

在这种特殊情况下，StringValue中包含的数据是两个预期值之一，因此，只需检查控制器中的RequestParam即可，如果该值与两个预期值中的一个不匹配，则会扔一个InvaridParametErexception。但是我们有几种情况下可以使用基于字符串的请求Param，因此上面使用的解决方案将无效。

我花了几天的时间研究这个问题，尽管关于如何消除JSP应用程序中注射的HTML有很多建议，但我几乎找不到有关消除注射的JavaScript的有用信息，对我来说似乎是一个更大的问题，这是一个更大的问题，，，，这是一个更大的问题注射的JavaScript可以为Web应用程序做恶意的事情。

有人对如何解决此问题有任何有用的建议吗？

Answer 1

只是逃脱它。我使用此功能：

function esc_attr(string) {
    if (!string) {
        return "";
    }
    return ("" + string).replace(/[&<>"'\/\\]/g, function (s) {
        return {
            "&": "&",
            "<": "<",
            ">": ">",
            '"': '"',
            "'": ''',
            "/": '/',
            "\\": '\'
        }[s];
    });
}