记一次解决CSRF的坑

た 入场券 2023-05-30 06:18 85阅读 0赞

漏洞扫描，需要解决csrf问题，先贴上代码，使用的是过滤器

  1. package com.jdd.appim.web.filter;
  3. import com.alibaba.fastjson.JSONObject;
  4. import org.apache.commons.lang3.StringUtils;
  5. import org.slf4j.Logger;
  6. import org.slf4j.LoggerFactory;
  7. import org.springframework.util.CollectionUtils;
  9. import javax.servlet.*;
  10. import javax.servlet.http.HttpServletRequest;
  11. import java.io.IOException;
  12. import java.util.ArrayList;
  13. import java.util.List;
  14. import java.util.Properties;
  16. /**
  17.  * @author dataochen
  18.  * @Description 拦截请求 防止CSRF漏洞
  19.  * @date: 2019/9/6 14:26
  20.  */
  21. public class CsrfCheckFilter implements Filter {
  22.     private static final Logger LOGGER = LoggerFactory.getLogger(CsrfCheckFilter.class);
  24.     public CsrfCheckFilter(List<String> whiteHost) {
  25.         this.whiteHost = whiteHost;
  26.     }
  28.     public CsrfCheckFilter() {
  29.     }
  31.     /**
  32.      * 域名白名单
  33.      * 无需校验的
  34.      */
  35.     private List<String> whiteHost = new ArrayList<String>();
  37.     @Override
  38.     public void init(FilterConfig filterConfig) throws ServletException {
  39.         LOGGER.info("####CsrfCheckFilter init");
  40. //        把单点登录的加进白名单
  41.         try {
  42.             Properties props = new Properties();
  43.             props.load(CsrfCheckFilter.class.getResourceAsStream("/sso-client.properties"));
  44.             String property = props.getProperty("sso.server.host");
  45.             whiteHost.add(property);
  46.             LOGGER.info("###whiteHost=[{}]", JSONObject.toJSONString(whiteHost));
  47.         } catch (Exception e) {
  48.             LOGGER.error("###CsrfCheckFilter put sso host into white host exception,e={}", e);
  49.         }
  50.     }
  52.     @Override
  53.     public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {
  54.         HttpServletRequest req = (HttpServletRequest) servletRequest;
  55.         String referer = req.getHeader("Referer");
  56.         String serverName = req.getServerName();
  57.         String scheme = req.getScheme();
  58.         LOGGER.debug("###CsrfCheckFilter doFilter referer={},serverName={}", referer, serverName);
  59.         LOGGER.debug("###CsrfCheckFilter doFilter scheme={}", scheme);
  60.         if (StringUtils.isNotBlank(referer)) {
  61. //            判断是否是域名白名单中的域名
  62.             LOGGER.debug("###CsrfCheckFilter doFilter whiteHost={}", JSONObject.toJSONString(whiteHost));
  63.             if (!CollectionUtils.isEmpty(whiteHost)) {
  64.                 for (String host : whiteHost) {
  65.                     if (host.startsWith("http")) {
  66.                         if (referer.startsWith(host)) {
  67.                             filterChain.doFilter(servletRequest, servletResponse);
  68.                             return;
  69.                         }
  70.                     } else {
  71.                         if (referer.startsWith("http://" + host) || referer.startsWith("https://" + host)) {
  72.                             filterChain.doFilter(servletRequest, servletResponse);
  73.                             return;
  74.                         }
  75.                     }
  76.                 }
  77.             }
  78. //            判断是否是本系统的域名
  79.             if (!referer.startsWith(scheme + "://" + serverName)) {
  80.                 throw new ServletException("System identified as cross-site request forgery, access denied");
  81.             }
  83.         }
  84.         filterChain.doFilter(servletRequest, servletResponse);
  85.         return;
  86.     }
  88.     @Override
  89.     public void destroy() {
  91.     }
  92. }

本来这个过滤器没什么问题，后来项目改成了HTTPS访问应用，一直报静态资源找不到。后来经过排查，发现是这个过滤器的问题。在这个应用的上面有一层nginx反向代理，https请求到nginx后，nginx在转发时候，转发的是http，同时转发的响应头里面，多了一个refer，这个refer是https。因此问题就来了，在这个filter代码中，refer=https，scheme=http，因此代码执行到

  1. if (!referer.startsWith(scheme + "://" + serverName)) 方法里面，扔出了一个servlet异常

发表评论

表情：
评论列表 （有 0 条评论，85人围观）

还没有评论，来说两句吧...

相关阅读

    相关 记一次使用Cobar踩到的坑

    起因 起因是因为日志里经常报出锁等待超时的错误，并且这个是环环相扣的，一个锁等待会直接引发另外的锁等待，所以危害非常严重，影响非常深远。寻找原因发现是`C3P0`报出了`

    矫情吗；*矫情吗；*/ 0 赞/ 350 阅读