XSSクロスサイトスクリプティングを扱うためのJboss/ApacheレベルのHTMLエンコーディング

Question

最近、私たちのウェブサイトはXSSクロスサイトスクリプティング - タイプ1で攻撃されました。私はいくつかのウェブサイトを経由して、HTMLエンコーディング/エスケープ/とURLをスキャンする（フィルタを使用して）。

フィルタを使用してURLをスキャンしてURLのクロスサイトスクリプティングを修正し、コントローラ（サーブレット）に進む前にURLをクリアしました。情報については

、我々は、Apacheが提供する「Mod_jセキュリティ」と呼ばれるもの、 を試してみましたが、私の懸念は、私はHTML出力をENDCODEできる方法

あります？表示前にHTMLエンコーディングを行うためのJBOSSまたはApacheの設定は何ですか？

これは重要であり、早急に対応する必要があるため、アドバイスをお願いします。

Answer 1

XSSの防御には、出力中にコンタケット認識が必要です。 OWASP XSS防止チートシートを参照してください。アプリケーション内で実行する必要があります。フィルタやApacheでそれを行うのはうれしいでしょう、それはちょうど不可能です。上で述べたThiefMasterは完全な出力しか見ることができません。このような膨大な攻撃の可能性があるため、この時点で攻撃を見つけることはほとんど不可能です。