Jboss/Apache級別的HTML編碼，用於處理XSS跨站點腳本

我們的網站最近受到XSS跨站點腳本攻擊 - 類型1，我瀏覽了幾個網站，他們建議我們執行HTML編碼/轉義逃逸/並掃描URL（使用過濾器）。Jboss/Apache級別的HTML編碼，用於處理XSS跨站點腳本

我們通過使用過濾器掃描URL來修復URL跨站點腳本，並在繼續控制器（Servlet）之前清除URL。

至於信息，我們已經嘗試一種叫「Mod_j安全」阿帕奇，提供，但我關心的是

我怎麼能endcode HTML輸出？在JBOSS或Apache中有沒有配置設置可以在顯示前進行HTML編碼？

請指教我，因爲它是至關重要的，需要儘快解決。

2012-03-28 Kumaran

這應該由您正在使用的應用程序框架完成。網絡服務器只能看到發回的完整的HTML數據塊，並且無法知道哪些部分應該進行html編碼，哪些不應該。 – ThiefMaster 2012-03-28 05:30:59

我們正在使用spring框架，並將struts tile definition定義爲view ..所以我不確定在哪裏需要進行編碼！ – Kumaran 2012-03-28 06:26:10

XSS防禦需要在輸出過程中進行比較。請參閱OWASP XSS預防備忘單。您必須在您的應用程序中執行此操作。在過濾器或apache中執行它會很好，但這是不可能的。上面提到的ThiefMaster只能看到完整的輸出。在這一點上發現攻擊幾乎是不可能的，因爲這樣的攻擊有很多。

2012-03-29 04:46:32 Erlend

回答