文档章节

filter的使用处理URL白名单和参数白名单(用于安全红线扫描)

lee123lee
 lee123lee
发布于 2013/09/27 00:16
字数 441
阅读 619
收藏 1
package com.huawei.filters;

import java.io.IOException;
import java.util.Enumeration;
import java.util.HashMap;
import java.util.Vector;
import java.util.regex.Pattern;

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;

public class RequestActionFilter implements Filter
{

    private String OptionalCharEncode;

    private String isDebug;

    private String whiteUriList[];

    private String whiteParams[];

    public RequestActionFilter()
    {
        OptionalCharEncode = null;
        isDebug = "1";
        whiteUriList = null;
        whiteParams = null;
    }

    public void init(FilterConfig filterConfig) throws ServletException
    {
        OptionalCharEncode = filterConfig
                .getInitParameter("OptionalCharEncode");
        isDebug = filterConfig.getInitParameter("isDebug");
        if (isDebug == null || "".equals(isDebug))
        {
            isDebug = "1";
        }
        if (OptionalCharEncode == null)
        {
            OptionalCharEncode = "";
        }
        whiteUriList = filterConfig.getInitParameter("whiteUriList").split("@");
        whiteParams = filterConfig.getInitParameter("whiteParams").split("@");
    }

    public void doFilter(ServletRequest request, ServletResponse response,
            FilterChain chain) throws IOException, ServletException
    {
        HttpServletRequest req = (HttpServletRequest) request;
        String freeUriPattern = ".*\\.(js|css|gif|jpg|ico|png)$";
        if (Pattern.matches(freeUriPattern, req.getRequestURI()))
        {
            chain.doFilter(request, response);
            return;
        }
        if ("0".equals(isDebug))
        {
            System.out.println("--------RequestURI:" + req.getRequestURI());
        }
        if (IsWhiteUri(req.getRequestURI()))
        {
            if ("0".equals(isDebug))
            {
                System.out.println("--------" + req.getRequestURI()
                        + " is whiteUri");
            }
            chain.doFilter(request, response);
            return;
        }
        HashMap paramMap = new HashMap(req.getParameterMap());
        processParamsters(paramMap);
        if ("0".equals(isDebug))
        {
            Vector vec = new Vector(paramMap.keySet());
            Enumeration keys = vec.elements();
            String key = "";
            String values[] = (String[]) null;
            while (keys.hasMoreElements())
            {
                Object obj = keys.nextElement();
                if (obj != null)
                {
                    key = (String) obj;
                    values = (String[]) paramMap.get(key);
                    for (int i = 0; i < values.length; i++)
                    {
                        System.out.println("------convert_after_paramname:"
                                + key + "-----convert_after_paramvalue:"
                                + values[i]);
                    }

                }
            }
        }
        chain.doFilter(request, response);
    }

    private boolean IsWhiteUri(String uri)
    {
        for (int i = 0; i < whiteUriList.length; i++)
        {
            if (whiteUriList[i].length() > 0)
            {
                String whiteuri = whiteUriList[i];
                whiteuri = whiteuri.trim();
                Pattern p = Pattern.compile(whiteuri);
                if (p.matcher(uri).find())
                {
                    return true;
                }
            }
        }

        return false;
    }

    private boolean IsWhiteParam(String param)
    {
        for (int i = 0; i < whiteParams.length; i++)
        {
            String whiteparam = whiteParams[i];
            whiteparam = whiteparam.trim();
            if (whiteparam.equals(param))
            {
                return true;
            }
        }

        return false;
    }

    private void processParamsters(HashMap params)
    {
        Vector l = new Vector(params.keySet());
        Enumeration keys = l.elements();
        String key = "";
        String values[] = (String[]) null;
        int len = 0;
        while (keys.hasMoreElements())
        {
            Object obj = keys.nextElement();
            if (obj != null)
            {
                key = (String) obj;
                if (!IsWhiteParam(key))
                {
                    values = (String[]) params.get(key);
                    len = values.length;
                    for (int i = 0; i < len; i++)
                    {
                        if ("0".equals(isDebug))
                        {
                            System.out.println("------convert_per_paramname:"
                                    + key + "-----convert_per_paramvalue:"
                                    + values[i]);
                        }
                        values[i] = values[i].replaceAll("&", "&amp;");
                        values[i] = values[i].replaceAll("<", "&lt;");
                        values[i] = values[i].replaceAll(">", "&gt;");
                        values[i] = values[i].replaceAll("\"", "&quot;");
                        values[i] = values[i].replaceAll("'", "&#39;");
                        if (OptionalCharEncode.equalsIgnoreCase("true"))
                        {
                            values[i] = values[i].replaceAll("/", "&#47;");
                            values[i] = values[i].replaceAll("\\(", "&#40;");
                            values[i] = values[i].replaceAll("\\)", "&#41;");
                        }
                    }

                }
            }
        }
    }

    public void destroy()
    {
    }
}

 

 

<filter>
 <filter-name>urlFilter</filter-name>
 <filter-class>com.huawei.filters.RequestActionFilter</filter-class>
  <init-param>
  <param-name>isDebug</param-name>
  <param-value>0</param-value>
 </init-param>
 <init-param>
  <param-name>OptionalCharEncode</param-name>
  <param-value>true</param-value>
 </init-param>
 <init-param>
      <param-name>whiteUriList</param-name>
      <param-value></param-value>
    </init-param>
    <init-param>
      <param-name>whiteParams</param-name>
      <param-value>pswd@validateCode@URL</param-value>
    </init-param>
</filter>
<filter-mapping>
 <filter-name>urlFilter</filter-name>
 <url-pattern>/*</url-pattern>
</filter-mapping>

© 著作权归作者所有

共有 人打赏支持
lee123lee
粉丝 51
博文 144
码字总数 122159
作品 1
闵行
高级程序员
私信 提问
[Android]PhoneGap源码分析——白名单

对于单独的Web app应用来说,加载进来的url一般不能保证它的安全性。那么如何来处理url安全性的问题呢。 让我们来看看PhoneGap是如何做的。 PhoneGap采用了白名单的形式,认为在白名单中的u...

亭子happy
2012/09/29
0
1
Bypass X-WAF SQL注入防御(多姿势)

0x00 前言 X-WAF是一款适用中、小企业的云WAF系统,让中、小企业也可以非常方便地拥有自己的免费云WAF。 本文从代码出发,一步步理解WAF的工作原理,多姿势进行WAF Bypass。 0x01 环境搭建 ...

bypass
06/04
0
0
pomelo 0.8 发布,网易游戏服务器框架

0.8 版本新特性 pomelo-cocos2d-jsb 对 cocos2d-x javaScript binding 环境有了支持,开发者可以很方便的使用 javaScript 来完成前后端的开发,并发布到 ios,android,web平台上 详细请看 po...

oschina
2013/12/25
5K
0
[WordPress源码分析]插件配置更新

WordPress有一套注册和修改配置的机制,很多插件设置都基于这套机制实现。以BAE-Helper为例,插件的配置都是通过wp-admin/options.php更新的,详见《[BAE-Helper]实现分析v0.1》。而具体Wor...

joshuazhan
2013/09/17
0
0
CSP的今世与未来

一、从两个工具说起 最近Google又推出了两款有关CSP利用的小工具,其一为CSP Evaluator,这是一个能够评估你当前输入的CSP能否帮助你有效避免XSS攻击的工具,其用法非常简单,在输入框中输入...

阿里聚安全
2016/10/18
33
0

没有更多内容

加载失败,请刷新页面

加载更多

我的Linux系统九阴真经

我的Linux系统九阴真经 在今天,互联网的迅猛发展,科技技术也日新月异,各种编程技术也如雨后春笋一样,冒出尖来了。各种创业公司也百花齐放百家争鸣,特别是针对服务行业,新型互联网服务行...

linuxCool
40分钟前
11
0
Python程序员需要知道的30个技巧

1 直接交换两个数字位置 1x, y = 10, 202print(x, y)3x, y = y, x4print(x, y)5#1 (10, 20)6#2 (20, 10) 2 比较运算符的链接 1n = 102result = 1 < n < 203print(result)4# True5result = 1 ......

糖宝lsh
40分钟前
7
0
[LintCode] Linked List Cycle(带环链表)

描述 给定一个链表,判断它是否有环。 样例 给出 -21->10->4->5, tail connects to node index 1,返回 true。 这里解释下,题目的意思,在英文原题中,tail connects to node index 1 表示的...

honeymose
51分钟前
8
0
Android :报错Your project path contains non-ASCII characters.

报错内容如下 Your project path contains non-ASCII characters. This will most likely cause the build to fail on Windows. Please move your project to a different directory. See ht......

lanyu96
今天
7
0
Nginx平滑添加模块

Nginx已经编译安装并运行了一段时间, 然后某一天, 发现需要用到某个模块但当初没有编译, 这个时候怎么办呢? 卸载重新安装肯定可以的, 如果Nginx版本没有变更的话, 则有一个相对平滑的方法来添...

老菜鸟0217
今天
10
0

没有更多内容

加载失败,请刷新页面

加载更多

返回顶部
顶部