package itn.let.mjo.msgcampain.web; import java.lang.reflect.Field; public class MjonVOParamXssValues { /** * Build URI from VO and Host, Path * * @param paramObj VO * @param host Host * @param path Path * @return URI * @throws IllegalAccessException * @throws IllegalArgumentException */ public int buildUri(Object paramObj) { int XssCnt = buildParamMap(paramObj); return XssCnt; } /** * Build MultiValueMap - VO에 담긴 모든 변수의 값을 확인 * * @param paramObj VO * @return MultiValueMap * @throws IllegalAccessException * @throws IllegalArgumentException */ private int buildParamMap(Object paramObj) { int XssCnt = 0; for(Field field : paramObj.getClass().getDeclaredFields()) { // 각 변수를 하나씩 불러옴 field.setAccessible(true); Object value; try { value = field.get(paramObj); if(value != null) { String paramValue = value.toString(); //변수 값을 받아옴 //String paramName = field.getName(); int cnt = cleanXSS(paramValue); //XSS 체크해보기 XssCnt = XssCnt + cnt; } } catch (IllegalArgumentException e) { throw new IllegalArgumentException("IllegalArgumentException Error ::: " + e); } catch (IllegalAccessException e) { throw new IllegalArgumentException("IllegalArgumentException Error ::: " + e); } } return XssCnt; } /** * Get values from fields of VO * * @param field * @param clazz * @param obj * @return */ /* private Object getValueFromField(Field field, Class<?> clazz, Object obj) { for(Method method : clazz.getMethods()) { String methodName = method.getName(); if( (methodName.startsWith("get") && methodName.length() == field.getName().length() + 3) || (methodName.startsWith("is") && methodName.length() == field.getName().length() + 2) ) { if(methodName.toLowerCase().endsWith(field.getName().toLowerCase())) { try { return method.invoke(obj); } catch (Exception e) { e.printStackTrace(); } } } } return null; }*/ /** * XSS 문자열이 있는지 체크 * @param field * @param clazz * @param obj * @return */ private int cleanXSS(String test_str) { String test_str_low= test_str.toLowerCase(); int cnt = 0; if(test_str_low.contains("union")|| test_str_low.contains("select") || test_str_low.contains("insert") || test_str_low.contains("drop") || test_str_low.contains("update") || test_str_low.contains("delete") || test_str_low.contains("join") || test_str_low.contains("from") || test_str_low.contains("where") || test_str_low.contains("substr") || test_str_low.contains("user_tables")|| test_str_low.contains("script")|| test_str_low.contains("<")|| test_str_low.contains(">")|| test_str_low.contains("alert")|| test_str_low.contains("javascript")|| test_str_low.contains("=")|| test_str_low.contains("!")|| test_str_low.contains("or")|| test_str_low.contains("user_tables")|| test_str_low.contains("\\(")|| test_str_low.contains("\\)")|| test_str_low.contains("user_tables")|| test_str_low.contains("&lt;") || test_str_low.contains("\"") || test_str_low.contains("%") || test_str_low.contains("()") || test_str_low.contains("+") || test_str_low.contains("%") || test_str_low.contains("&gt;") ) { /*try { context.getRequestDispatcher("/blank.do").forward(request, response); } catch (ServletException e) { // TODO Auto-generated catch block e.printStackTrace(); } catch (IOException e) { // TODO Auto-generated catch block e.printStackTrace(); }*/ /*test_str = test_str_low; test_str = test_str.replaceAll("union", "q-union"); test_str = test_str.replaceAll("select", "q-select"); test_str = test_str.replaceAll("insert", "q-insert"); test_str = test_str.replaceAll("drop", "q-drop"); test_str = test_str.replaceAll("update", "q-update"); test_str = test_str.replaceAll("delete", "q-delete"); test_str = test_str.replaceAll("and", "q-and"); test_str = test_str.replaceAll("or", "q-or"); test_str = test_str.replaceAll("join", "q-join"); test_str = test_str.replaceAll("substr", "q-substr"); test_str = test_str.replaceAll("from", "q-from"); test_str = test_str.replaceAll("where", "q-where"); test_str = test_str.replaceAll("declare", "q-declare"); test_str = test_str.replaceAll("openrowset", "q-openrowset"); test_str = test_str.replaceAll("user_tables","q-user_tables"); test_str = test_str.replaceAll("user_tab_columns","q-user_tab_columns"); test_str = test_str.replaceAll("table_name","q-table_name"); test_str = test_str.replaceAll("column_name","q-column_name"); test_str = test_str.replaceAll("row_num","q-row_num");*/ //xss 문자열이 포함되어 있으면 카운트 함 cnt++; } return cnt ; } }