java - OutputStream.write() 中の永続 XSS 攻撃

Question

Persistent-XSS 攻撃に関するセキュリティ問題に取り組んでおり、fortify を使用して問題を分析することができました。

検証されていないデータを Web ブラウザに送信し、ブラウザが悪意のあるコードを実行する可能性があります。

コードは Java です。

void output(OutputStream out){
  out.write(byteData);  //byteData is a data member of the class of type byte[].
}

上記のスニペットの行 (2) で、xss 攻撃の通知を受け取ります。では、どうすればそれを検証できますか？

Answer 1

に送信する前に、データを検証する必要があります。OutputStream

void output(OutputStream out) {
    // Validate byteData code here
    out.write(byteData);
}

検証とは、設定したいルールにコードが準拠しているかどうかを確認することです。たとえば、数値のみを送信する場合は、送信する前に byteData に数値のみが含まれていることを確認できます。