CSRF, XSS und SQL-Injection-Angriffen in JSF

XSS

JSF entworfen, um eingebaute XSS-Prävention. Sie können sicher wieder alle user-controlled input (request-Header (einschließlich cookies!), request-Parameter (auch diejenigen, die gespeichert werden in der DB!) und Antrag stellen (hochgeladen von text-Dateien, etc)) mit beliebigen JSF-Komponente.

<h:outputText value="#{user.name}" />
<h:outputText value="#{user.name}" escape="true" />
<h:inputText value="#{user.name}" />
etc...

Beachten Sie, dass wenn Sie mit JSF 2.0 Facelets, dann können Sie EL im Vorlagen-text etwa so:

<p>Welcome, #{user.name}</p>

Dies wird implizit auch escaped werden. Sie benötigen nicht unbedingt <h:outputText> hier.

Nur, wenn Sie ausdrücklich unescaping user-controlled input mit escape="false":

<h:outputText value="#{user.name}" escape="false" />

dann haben Sie eine potentielle XSS-Angriff Loch!

Wenn Sie möchten, um anzuzeigen, benutzergesteuerten Eingabe als HTML, wobei Sie möchten, dass nur eine bestimmte Untermenge von HTML-tags wie <b>, <i>, <u> usw, dann müssen Sie bereinigen Sie die Eingabe, indem Sie eine whitelist. Der HTML-parser Jsoup ist sehr hilfreich.

itemLabelEscaped Fehler in Mojarra < 2.2.6

Älteren Mojarra Versionen vor 2.2.6 hatte den Fehler bei dem <f:selectItems itemLabel> falsch rendert das label ohne Umschreibung, wenn ein List<T> über <f:selectItems var> statt List<SelectItem> oder SelectItem[] als Wert (Problem 3143). In anderen Worten, wenn Sie redisplaying Benutzer-gesteuerte Daten als Element-labels über ein List<T> sind, dann haben Sie eine potentielle XSS-Loch. Wenn Sie ein Upgrade auf mindestens Mojarra 2.2.6 ist nicht eine option, dann müssen Sie explizit festlegen itemLabelEscaped Attribut true zu verhindern.

<f:selectItems value="#{bean.entities}" var="entity" itemValue="#{entity}"
    itemLabel="#{entity.someUserControlledProperty}" itemLabelEscaped="true" />

CSRF

JSF 2.x hat bereits eingebauten CSRF-Prävention im Geschmack von javax.faces.ViewState hidden-Feld im Formular bei der Verwendung von server-side-state-saving. In JSF 1.x dieser Wert war nämlich ziemlich schwach und zu leicht vorhersehbar (es war eigentlich nie beabsichtigt, als CSRF prevention). In JSF 2.0 wurde verbessert und mit einem langen und starken, automatisch generierten Wert statt einer eher vorhersehbaren Sequenz-Wert und ist somit eine robuste CSRF prevention.

In JSF 2.2 wird dies noch weiter verbessert werden, indem diese zu einem gewünschten Teil der JSF-Spezifikation, zusammen mit einer konfigurierbaren AES-Schlüssel, der zum verschlüsseln der client-Seite Stand, bei client-side-state-saving wird aktiviert. Siehe auch JSF-spec Problem 869 und Die Wiederverwendung von ViewState-Wert in der anderen Sitzung (CSRF). Neu in JSF 2.2 ist CSRF-Schutz auf GET-Anfragen durch <geschützt-Ansichten>.

Nur, wenn Sie stateless views als in <f:view transient="true"> oder gibt ' s irgendwo ein XSS-Angriff Loch in die Anwendung, dann haben Sie ein potential CSRF-Angriff Loch.

SQL-injection

Dies ist nicht die JSF Verantwortung. Wie um dies zu verhindern, hängt von der Persistenz-API, die Sie verwenden (raw JDBC, modernen GMP oder good ol' Hibernate), aber alles läuft darauf hinaus, dass Sie sollten nie verketten Benutzer-gesteuerte Eingabe in SQL-Zeichenfolgen, wie so

String sql = "SELECT * FROM user WHERE username = '" + username + "' AND password = md5(" + password + ")";
String jpql = "SELECT u FROM User u WHERE u.username = '" + username + "' AND u.password = md5('" + password + "')";

Sich vorstellen, was passieren würde, wenn der enduser wählt die folgenden Namen:

x'; DROP TABLE user; --

Sollten Sie immer Verwendung von parametrisierten Abfragen, wo anwendbar.

String sql = "SELECT * FROM user WHERE username = ? AND password = md5(?)";
String jpql = "SELECT u FROM User u WHERE u.username = ?1 AND u.password = md5(?2)";

In plain JDBC, die Sie verwenden müssen PreparedStatement zu füllen, die die Werte der parameter und in der PPV (und Hibernate), die Query Objekt bietet setter für diese als gut.

InformationsquelleAutor BalusC