【项目 X】XSS 漏洞修复

漏洞名称

  XSS漏洞

漏洞级别

高

涉及版本

RPA9.0

漏洞描述

XSS攻击通常指的是通过利用网页开发时留下的漏洞，通过巧妙的方法注入恶意指令代码到网页，使用户加载并执行攻击者恶意制造的网页程序。

临时方案

无

升级方案

xss 修复.zip

1、停止tomcat 
/isearch/bin/tomcat.sh stop

2、备份文件
cp /isearch/isa/webapp/WEB-INF/classes/com/isearch/framework/filter/CharacterEncodingFilter.class /isearch/isa/webapp/WEB-INF/classes/com/isearch/framework/filter/CharacterEncodingFilter.class.bak

3、替换文件（先备份原文件）
/isearch/isa/webapp/WEB-INF/classes/com/isearch/framework/filter/CharacterEncodingFilter.class

4、增加配置信息
在/isearch/isa/webapp/WEB-INF/conf/isa.properties文件中增加如下信息：
security.white.params=json,jsonStr,sqlQuery,source.templateJson,ap.fullContent,promptInfo,searchReport.queryString
security.black.values=alert,script,iframe,prompt,svg,confirm,onload,onmouseover,onfocus,onclick,document,src,select,insert,delete,update,drop,alter,grant,fetch,revoke,database,exec,and,mid

5、确认数据库状态
select PARAM_VALUE from T_PARAM_TABLE where PARAM_TABLE_NAME='ALL' and PARAM_NAME='FILTER_SPECIAL_CHAR';
确保上面语句查询出的结果是yes，如果不是需要改成yes

6、启动tomcat
/isearch/bin/tomcat.sh start

回退方案

1、删除文件：
rm -rf /isearch/isa/webapp/WEB-INF/classes/com/isearch/framework/filter/CharacterEncodingFilter.class

2、还原文件
cp /isearch/isa/webapp/WEB-INF/classes/com/isearch/framework/filter/CharacterEncodingFilter.class.bak /isearch/isa/webapp/WEB-INF/classes/com/isearch/framework/filter/CharacterEncodingFilter.class

6、启动tomcat
/isearch/bin/tomcat.sh stop
/isearch/bin/tomcat.sh start