文档章节

filter的使用处理URL白名单和参数白名单(用于安全红线扫描)

lee123lee
 lee123lee
发布于 2013/09/27 00:16
字数 441
阅读 614
收藏 1
package com.huawei.filters;

import java.io.IOException;
import java.util.Enumeration;
import java.util.HashMap;
import java.util.Vector;
import java.util.regex.Pattern;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;

public class RequestActionFilter implements Filter
{

    private String OptionalCharEncode;

    private String isDebug;

    private String whiteUriList[];

    private String whiteParams[];

    public RequestActionFilter()
    {
        OptionalCharEncode = null;
        isDebug = "1";
        whiteUriList = null;
        whiteParams = null;
    }

    public void init(FilterConfig filterConfig) throws ServletException
    {
        OptionalCharEncode = filterConfig
                .getInitParameter("OptionalCharEncode");
        isDebug = filterConfig.getInitParameter("isDebug");
        if (isDebug == null || "".equals(isDebug))
        {
            isDebug = "1";
        }
        if (OptionalCharEncode == null)
        {
            OptionalCharEncode = "";
        }
        whiteUriList = filterConfig.getInitParameter("whiteUriList").split("@");
        whiteParams = filterConfig.getInitParameter("whiteParams").split("@");
    }

    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException
    {
        HttpServletRequest req = (HttpServletRequest) request;
        String freeUriPattern = ".*\\.(js|css|gif|jpg|ico|png)$";
        if (Pattern.matches(freeUriPattern, req.getRequestURI()))
        {
            chain.doFilter(request, response);
            return;
        }
        if ("0".equals(isDebug))
        {
            System.out.println("--------RequestURI:" + req.getRequestURI());
        }
        if (IsWhiteUri(req.getRequestURI()))
        {
            if ("0".equals(isDebug))
            {
                System.out.println("--------" + req.getRequestURI()
                        + " is whiteUri");
            }
            chain.doFilter(request, response);
            return;
        }
        HashMap paramMap = new HashMap(req.getParameterMap());
        processParamsters(paramMap);
        if ("0".equals(isDebug))
        {
            Vector vec = new Vector(paramMap.keySet());
            Enumeration keys = vec.elements();
            String key = "";
            String values[] = (String[]) null;
            while (keys.hasMoreElements())
            {
                Object obj = keys.nextElement();
                if (obj != null)
                {
                    key = (String) obj;
                    values = (String[]) paramMap.get(key);
                    for (int i = 0; i < values.length; i++)
                    {
                        System.out.println("------convert_after_paramname:"
                                + key + "-----convert_after_paramvalue:"
                                + values[i]);
                    }

                }
            }
        }
        chain.doFilter(request, response);
    }

    private boolean IsWhiteUri(String uri)
    {
        for (int i = 0; i < whiteUriList.length; i++)
        {
            if (whiteUriList[i].length() > 0)
            {
                String whiteuri = whiteUriList[i];
                whiteuri = whiteuri.trim();
                Pattern p = Pattern.compile(whiteuri);
                if (p.matcher(uri).find())
                {
                    return true;
                }
            }
        }

        return false;
    }

    private boolean IsWhiteParam(String param)
    {
        for (int i = 0; i < whiteParams.length; i++)
        {
            String whiteparam = whiteParams[i];
            whiteparam = whiteparam.trim();
            if (whiteparam.equals(param))
            {
                return true;
            }
        }

        return false;
    }

    private void processParamsters(HashMap params)
    {
        Vector l = new Vector(params.keySet());
        Enumeration keys = l.elements();
        String key = "";
        String values[] = (String[]) null;
        int len = 0;
        while (keys.hasMoreElements())
        {
            Object obj = keys.nextElement();
            if (obj != null)
            {
                key = (String) obj;
                if (!IsWhiteParam(key))
                {
                    values = (String[]) params.get(key);
                    len = values.length;
                    for (int i = 0; i < len; i++)
                    {
                        if ("0".equals(isDebug))
                        {
                            System.out.println("------convert_per_paramname:"
                                    + key + "-----convert_per_paramvalue:"
                                    + values[i]);
                        }
                        values[i] = values[i].replaceAll("&", "&amp;");
                        values[i] = values[i].replaceAll("<", "&lt;");
                        values[i] = values[i].replaceAll(">", "&gt;");
                        values[i] = values[i].replaceAll("\"", "&quot;");
                        values[i] = values[i].replaceAll("'", "&#39;");
                        if (OptionalCharEncode.equalsIgnoreCase("true"))
                        {
                            values[i] = values[i].replaceAll("/", "&#47;");
                            values[i] = values[i].replaceAll("\\(", "&#40;");
                            values[i] = values[i].replaceAll("\\)", "&#41;");
                        }
                    }

                }
            }
        }
    }

    public void destroy()
    {
    }
}

 

 

<filter>
 <filter-name>urlFilter</filter-name>
 <filter-class>com.huawei.filters.RequestActionFilter</filter-class>
  <init-param>
  <param-name>isDebug</param-name>
  <param-value>0</param-value>
 </init-param>
 <init-param>
  <param-name>OptionalCharEncode</param-name>
  <param-value>true</param-value>
 </init-param>
 <init-param>
      <param-name>whiteUriList</param-name>
      <param-value></param-value>
    </init-param>
    <init-param>
      <param-name>whiteParams</param-name>
      <param-value>pswd@validateCode@URL</param-value>
    </init-param>
</filter>
<filter-mapping>
 <filter-name>urlFilter</filter-name>
 <url-pattern>/*</url-pattern>
</filter-mapping>

© 著作权归作者所有

共有 人打赏支持
lee123lee
粉丝 51
博文 144
码字总数 122159
作品 1
闵行
高级程序员
Bypass X-WAF SQL注入防御(多姿势)

0x00 前言 X-WAF是一款适用中、小企业的云WAF系统,让中、小企业也可以非常方便地拥有自己的免费云WAF。 本文从代码出发,一步步理解WAF的工作原理,多姿势进行WAF Bypass。 0x01 环境搭建 ...

bypass
06/04
0
0
[Android]PhoneGap源码分析——白名单

对于单独的Web app应用来说,加载进来的url一般不能保证它的安全性。那么如何来处理url安全性的问题呢。 让我们来看看PhoneGap是如何做的。 PhoneGap采用了白名单的形式,认为在白名单中的u...

亭子happy
2012/09/29
0
1
pomelo 0.8 发布,网易游戏服务器框架

0.8 版本新特性 pomelo-cocos2d-jsb 对 cocos2d-x javaScript binding 环境有了支持,开发者可以很方便的使用 javaScript 来完成前后端的开发,并发布到 ios,android,web平台上 详细请看 po...

oschina
2013/12/25
4.8K
0
[WordPress源码分析]插件配置更新

WordPress有一套注册和修改配置的机制,很多插件设置都基于这套机制实现。以BAE-Helper为例,插件的配置都是通过wp-admin/options.php更新的,详见《[BAE-Helper]实现分析v0.1》。而具体Wor...

joshuazhan
2013/09/17
0
0
在Spring-Boot中实现通用Auth认证的几种方式

前言 最近一直被无尽的业务需求淹没,没时间喘息,终于接到一个能让我突破代码舒适区的活儿,解决它的过程非常曲折,一度让我怀疑人生,不过收获也很大,代码方面不明显,但感觉自己抹掉了 ...

枕边书
07/17
0
0

没有更多内容

加载失败,请刷新页面

加载更多

arts-week10

Algorithm 905. Sort Array By Parity - LeetCode Review Who’s Afraid of the Big Bad Preloader? 一文读懂前端缓存 一个网络请求3个步骤:请求,处理,响应,而前端缓存主要在请求处响应这两步...

yysue
今天
0
0
00.编译OpenJDK-8u40的整个过程

前言 历经2天的折腾总算把OpenJDK给编译成功了,要说为啥搞这个,还得从面试说起,最近出去面试经常被问到JVM的相关东西,总感觉自己以前学的太浅薄,所以回来就打算深入学习,目标把《深入理...

凌晨一点
今天
5
0
python: 一些关于元组的碎碎念

初始化元组的时候,尤其是元组里面只有一个元素的时候,会出现一些很蛋疼的情况: def checkContentAndType(obj): print(obj) print(type(obj))if __name__=="__main__": tu...

Oh_really
昨天
6
2
jvm crash分析工具

介绍一款非常好用的jvm crash分析工具,当jvm挂掉时,会产生hs_err_pid.log。里面记录了jvm当时的运行状态以及错误信息,但是内容量比较庞大,不好分析。所以我们要借助工具来帮我们。 Cras...

xpbob
昨天
130
0
Qt编写自定义控件属性设计器

以前做.NET开发中,.NET直接就集成了属性设计器,VS不愧是宇宙第一IDE,你能够想到的都给你封装好了,用起来不要太爽!因为项目需要自从全面转Qt开发已经6年有余,在工业控制领域,有一些应用...

飞扬青云
昨天
6
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部