主页 / server / 问题 / 1040528
Accepted
B3nny
Asked: 2020-10-30 06:31:59 +0800 CST

在 RewriteCond 上验证 QUERY_STRING 以获得 XSS 保护

  • 772

我想创建一个重写条件来验证 QUERY_STRING 以防止 XSS。

我的项目看起来像：

/ItemPage.jsp?itemId=item_12345_12

其中 item_12345 是必需的，“_{VERSIONNUMBER} 在查询字符串中是可选的。

过去，我为许多可能很关键的 javascript 部分创建了 RewriteCond。

例子：

RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [OR]
RewriteCond %{QUERY_STRING} script [NC,OR]
RewriteCond %{QUERY_STRING} img [NC,OR]
RewriteCond %{QUERY_STRING} svg [NC,OR]
...
RewriteRule ^/ItemPage\.jsp?$ /StartPage.jsp [L,R=301]

在我发现使用许多新的可能的字符串进行过滤后，列表越来越多。现在我想重定向所有不使用此模式的请求来最小化规则。

RewriteCond %{QUERY_STRING} base64_encode.*\(.*\) [OR]
RewriteCond %{QUERY_STRING} ^((?!itemId=[\w]).)* [NC,OR]
RewriteRule ^/ItemPage\.jsp?$ /StartPage.jsp [L,R=301]

但是如果我使用这个条件，我会一直被重定向。ItemPage.jsp 不需要 ItemId，但如果在查询字符串中设置了 ItemId，则需要 ItemId=item_12345 + 可选 ItemId=item_12345_12。

该规则在 Apache2.4 中是否可以过滤 XSS 代码？

rewrite apache-2.4 rewritecond

1 个回答

  1. Best Answer

    我想你想要的是：

    RewriteCond %{QUERY_STRING} !^(ItemId=[[:alpha:]]+_\d+(_\d+)?)?$ [NC]
RewriteRule ^/ItemPage\.jsp$ /StartPage.jsp [L,R=301]

    请注意，不要?在 RewriteRule 的条件中包含 a ，就像您在问题中所做的那样。?这与请求中的文字不匹配。相反，它使“p”成为/ItemPage.jsp可选的，因此您也可以匹配/ItemPage.js.

    • 0

相关问题