xss уязвимость с servletoutputstream.write

Question

String id = request.getParameter("id") != null ? request.getParameter("id") : "0"; 
      aaaa doc = bbb.getdetailsById(id);  
      byte b[] = doc.getUploaded();   
      try { 
       response.setContentType("APPLICATION/OCTET-STREAM"); 
       String disHeader = "Attachment;Filename=" + doc.getName(); 
       response.setHeader("Content-Disposition", disHeader); 
       servletoutputstream = response.getOutputStream(); 
       servletoutputstream.write(b, 0, b.length); 
} 

У меня есть этот кусок кода. средство проверки кода говорит, что servletoutputstream.write (b, 0, b.length); xss уязвим. но я не знаю, как он сообщает об этом. и как это исправить. Я использую ESAPI для проверки ввода и для выхода из вывода в другой уязвимой уязвимости xss. мне тоже нужно сделать то же самое? пожалуйста, дайте предложения или решения. после выполнения некоторых исследований я обнаружил, что байт b [] должен быть escape для htmlESCAPE или xmlESCAPE с помощью ESAPI. он решит проблему?

Answer 1

Validate вход 'идентификатор', используя ESAPI, например. Подтвердите имя файла для FILE DOWNLOAD INJECTION, используя ESAPI. также проверите байт b [], используя getVAlidatedFileContent(), используя ESapi.

Это случай НЕИСПРАВНОСТИ ХРАНЕНИЯ ХСС.

Answer 2

Если вы используете Spring MVC, есть функция для этой цели, включен следующим образом:

<context-param> 
    <param-name>defaultHtmlEscape</param-name> 
    <param-value>true</param-value> 
</context-param> 

here is the clue

2nd clue

Answer 3

если таковой getUploaded() возвращают некоторый Javascript код, который загружается хакером <script>alert('hi')</script>, то это может создать проблему.

Вы можете попробовать следующее решение для форматирования строк, которые поставляются с каркасом Spring.

HtmlUtils.htmlEscape("<script> alter(''hi)</script>") 

Выход:

<script> alter(''hi)</script&gt 

Вы можете библиотека JSTL также форматировать строку, содержащую javascript.

public static byte[] getFormatedString(byte[] string){ 

    String str=new String(string); 
    str=HtmlUtils.htmlEscape(str); 
    return str.getBytes(); 

} 

Ваш код:

String id = request.getParameter("id") != null ? request.getParameter("id") : "0"; 
    aaaa doc = bbb.getdetailsById(id);  
    byte b[] = doc.getUploaded();   
    try { 
     response.setContentType("APPLICATION/OCTET-STREAM"); 
     String disHeader = "Attachment;Filename=" + doc.getName(); 
     response.setHeader("Content-Disposition", disHeader); 
     servletoutputstream = response.getOutputStream(); 
     servletoutputstream.write(getFormatedString(b), 0, b.length);