एक्सएसएस हमलों को रोकने के लिए जावा में HTML कोड को कैसे स्वच्छ किया जाए?

Question

मैं एचटीएमएल कोड को स्वच्छ करने के लिए कक्षा/उपयोग इत्यादि की तलाश में हूं यानी एक्सएसएस और इसी तरह के हमलों से बचने के लिए खतरनाक टैग, विशेषताओं और मूल्यों को हटा दें।

मुझे समृद्ध टेक्स्ट एडिटर (जैसे TinyMCE) से एचटीएमएल कोड मिलता है लेकिन इसे TinyMCE सत्यापन ("डेटा सबमिट फॉर्म ऑफ साइट") को कम करने के लिए दुर्भावनापूर्ण तरीके से भेजा जा सकता है।

वहाँ के रूप में सरल कुछ भी PHP में InputFilter के रूप में उपयोग करने के लिए है? बिल्कुल सही समाधान मैं उस तरह काम करता है (प्रक्षालक मान HtmlSanitizer कक्षा में समझाया गया है) की कल्पना कर सकते हैं:

String unsanitized = "...<...>...";   // some potentially 
               // dangerous html here on input 

HtmlSanitizer sat = new HtmlSanitizer();  // sanitizer util class created 

String sanitized = sat.sanitize(unsanitized); // voila - sanitized is safe... 

---

अद्यतन - सरल समाधान, बेहतर! संभवतः अन्य पुस्तकालयों/ढांचे पर छोटी बाहरी निर्भरताओं के साथ छोटे उपयोग वर्ग - मेरे लिए सबसे अच्छा होगा।

---

इसके बारे में कैसे?

Answer 1

आप OWASP ESAPI for Java है, जो कि इस तरह के आपरेशनों करने के लिए बनाया गया है एक सुरक्षा पुस्तकालय है इस्तेमाल कर सकते हैं।

इतना ही नहीं यह HTML के लिए एनकोडर है, यह भी जावास्क्रिप्ट, सीएसएस और URL एन्कोडिंग प्रदर्शन करने के लिए एनकोडर है। Sample uses of ESAPI ओडब्ल्यूएएसपी द्वारा प्रकाशित एक्सएसएस रोकथाम चीटशीट में पाया जा सकता है।

आप साइट नीति को परिभाषित करने के लिए OWASP AntiSamy प्रोजेक्ट का उपयोग कर सकते हैं जो बताता है कि उपयोगकर्ता द्वारा सबमिट की गई सामग्री में क्या अनुमति है। साइट नीति का बाद में "साफ" HTML प्राप्त करने के लिए उपयोग किया जा सकता है जो वापस प्रदर्शित होता है। आप पर नमूनाTinyMCE policy file पा सकते हैं।

Answer 2

Antisamy के बारे में, आप निर्भरता के बारे में इस जाँच करना चाहते हो सकता है:

http://code.google.com/p/owaspantisamy/issues/detail?id=95&can=1&q=redyetidave

Answer 3

एचटीएमएल आदानों बचने बहुत अच्छी तरह से काम करता है। लेकिन कुछ मामलों में व्यवसाय नियमों के लिए आपको HTML से बचने की आवश्यकता नहीं हो सकती है। REGEX का उपयोग कार्य के लिए उपयुक्त नहीं है और इसका उपयोग करके एक अच्छे समाधान के साथ आना बहुत मुश्किल है। http://jsoup.org/cookbook/cleaning-html/whitelist-sanitizer

यह प्रदान की इनपुट के साथ एक डोम पेड़ बनाता है और previosly एक श्वेतसूची द्वारा अनुमति नहीं किसी भी तत्व फिल्टर:

सबसे अच्छा समाधान मैंने पाया इस्तेमाल किया गया। एपीआई में एचटीएमएल की सफाई के लिए अन्य कार्य भी हैं।

और यह भी javax.validation @SafeHtml (whitelistType =, additionalTags =) के साथ इस्तेमाल किया जा सकता

Answer 4

आप OWASP Java HTML Sanitizer कोशिश कर सकते हैं। इसे इस्तेमाल करना बहुत आसान है।

PolicyFactory policy = new HtmlPolicyBuilder() 
    .allowElements("a") 
    .allowUrlProtocols("https") 
    .allowAttributes("href").onElements("a") 
    .requireRelNofollowOnLinks() 
    .build(); 

String safeHTML = policy.sanitize(untrustedHTML); 

Answer 5

@ Saljack के answer के लिए धन्यवाद। बस OWASP Java HTML Sanitizer पर विस्तारित करने के लिए। यह मेरे लिए वास्तव में अच्छी तरह से (त्वरित) काम किया। मैंने अभी पोम को निम्नलिखित जोड़ा है।मेरी Maven परियोजना में xml: नवीनतम रिलीज के लिए

<dependency> 
     <groupId>com.googlecode.owasp-java-html-sanitizer</groupId> 
     <artifactId>owasp-java-html-sanitizer</artifactId> 
     <version>20150501.1</version> 
    </dependency> 

चेक here।

तब मैं सफ़ाई के लिए इस समारोह कहा:

private String sanitizeHTML(String untrustedHTML){ 
     PolicyFactory policy = new HtmlPolicyBuilder() 
      .allowAttributes("src").onElements("img") 
      .allowAttributes("href").onElements("a") 
      .allowStandardUrlProtocols() 
      .allowElements(
      "a", "img" 
      ).toFactory(); 

     return policy.sanitize(untrustedHTML); 
    } 

अधिक टैग allowElements विधि में अल्पविराम से परे पैरामीटर का विस्तार करके जोड़ा जा सकता है।

बस सेम बंद गुजर डेटा को बचाने के लिए पहले इस पंक्ति जोड़ें:

bean.setHtml(sanitizeHTML(bean.getHtml())); 

यह है कि!

अधिक जटिल तर्क के लिए, यह पुस्तकालय बहुत लचीला है और इसे और अधिक परिष्कृत sanitizing कार्यान्वयन संभाल कर सकते हैं।