tomcat 全局参数过滤

r囧r小猫 2022-07-12 11:08 187阅读 0赞

因为输入参数的多样性，我一直怀疑能否做全局性的参数过滤。没想到看tomcat的安全防护时竟然有这个建议。这本书可以在百度文库中搜到。

该书说道：Tomcat Valve可将程序代码插入Tomcat 中，并让该程序代码在不同的请求及响应处理阶段执行，而Web应用程序的内容则在中间阶段执行（即，在处理请求之后，处理响应之前）。Valve 不是Web 应用程序的一部分，而是可以当成Tomcat servlet container 的一部分来执行的程序模块。Valve 的另一项优点是，Tomcat 的系统管理员可以设定Valve 在所有部署的Web 应用程序或特定的Web 应用程序中执行—— 无论所需的范围为何。附录四中含有BadInputFilterValve.java 的完整源代码。

我看了下BadInputFilterValve.java源代码，主要的部分如下：

quotesHashMap.put("/"", """);

quotesHashMap.put("/'", "'");

quotesHashMap.put("\`", "\`");

angleBracketsHashMap.put("<", "<");

angleBracketsHashMap.put(">", ">");

javaScriptHashMap.put("document(.\*)//.(.\*)cookie", "document.cookie");

javaScriptHashMap.put("eval(//s\*)//(", "eval(");

javaScriptHashMap.put("setTimeout(//s\*)//(", "setTimeout$1(");

javaScriptHashMap.put("setInterval(//s\*)//(", "setInterval$1(");

javaScriptHashMap.put("execScript(//s\*)//(", "exexScript$1(");

javaScriptHashMap.put("javascript:", "javascript:");

很容易看出来，这些都是用来过滤的。我比较怀疑这种转义能否行得通。若某些特殊参数就能需要包含这些特殊字符的，如果有，转义后显然会存在问题。此外，对于”等符号，这里面也没有处理，当然“和‘是很可能出现在合理的参数中的，但是这些符号也是XSS攻击常用的的一些符号。JavaScript函数，我认为也不够全，连alert函数都没有。可见，这个函数的用处还是有限，而且很可能存在逻辑上的隐患。

发表评论取消回复

表情：

评论列表（有 0 条评论，187人围观）

还没有评论，来说两句吧...

相关阅读

相关 JPA 使用@Where 注解实现全局过滤

JPA 使用@Where 注解实现全局过滤

以你之姓@/ 2024年05月23日 20:40/ 0 赞/ 65 阅读

相关 Laravel全局传递参数

阅读目录应用场景容器绑定逻辑导图 0 创建类文件获取接口数据 1 封装curl类通过get方式获取数据 2 创建服

Myth丶恋晨/ 2023年10月06日 19:27/ 0 赞/ 53 阅读

相关 SpringBoot请求参数过滤空格

前言 [博主github][github] [博主个人博客http://blog.healerjean.com][http_blog.healerjean.com

喜欢ヅ旅行/ 2023年08月17日 16:46/ 0 赞/ 148 阅读

相关 postman全局参数配置

背景：按照最苦逼的方式进行请求，需要不断的频繁修改参数，及其繁琐。另外一个原因，在需求开发过程中，涉及到多个请求，这样的话需要对请求进行分类管理，方便后续的使用。一、请求

超、凢脫俗/ 2022年12月14日 13:56/ 0 赞/ 328 阅读

相关 java sql参数过滤函数_asp 获取参数值与sql安全过滤参数函数代码

'获取参数值 Function getForm(element,ftype) Select case ftype case "get" getForm=trim(req

太过爱你忘了你带给我的痛/ 2022年11月06日 09:57/ 0 赞/ 126 阅读

相关 Tomcat参数设置

公司的项目是基于SSH，Tomcat启动时默认的64M内存就总显得不太够。程序运行过程中经常出现OutOfMemError。搜索网上的解决方案，如果只是Tomcat本身还是

短命女/ 2022年08月19日 11:22/ 0 赞/ 24 阅读

相关 Mybatis 注入全局参数

在项目中使用mybatis作为dao层，大部分时间都需要使用到mybatis提供的动态sql功能，一般情况下所有的表都是在同一个数据库下的，进行数据操作时都是使用jdbc中默认

墨蓝/ 2022年08月09日 15:48/ 0 赞/ 208 阅读

相关 tomcat 全局参数过滤

因为输入参数的多样性，我一直怀疑能否做全局性的参数过滤。没想到看tomcat的安全防护时竟然有这个建议。这本书可以在百度文库中搜到。该书说道：Tomcat Valve可将程

r囧r小猫/ 2022年07月12日 11:08/ 0 赞/ 188 阅读

相关 Tomcat-----Tomcat设置启动参数

![Center][] [Center]: /images/20220608/2a2adc53420f48e482cf3152d10c9db4.png

川长思鸟来/ 2022年06月08日 00:45/ 0 赞/ 275 阅读

相关 springboot全局配置参数

banner.charset=UTF-8 \ Banner file encoding. banner.location=classpath:banner.txt \ Ba

痛定思痛。/ 2022年02月19日 08:36/ 0 赞/ 530 阅读