如何防止 JSF 2.2 接受来自不同会话的 ViewState？

如何解决如何防止 JSF 2.2 接受来自不同会话的 ViewState？

我使用的是 JSF 2.2（Glassfish 4.1）。我们的 web 应用程序有 Primefaces 6.0 和 Omnifaces 2.6.9 作为依赖项。 JSF 状态存储在服务器上。举个例子，我有这个表单，其中 usermodel 是一个 javax.faces.view.ViewScoped bean。

<h:form id="user">
    <p:inputText id="name" value="#{usermodel.name}"/>
    <p:inputText id="pass" value="#{usermodel.pass}"/>
    <p:commandButton id="create" value="#{msgs.lbl_add}" action="#{usermodel.addUser()}"/>
</h:form>

一家公司扫描了我们的网络应用是否存在安全问题，并声称其存在 CSRF 漏洞。攻击者可以像这样向我们的一个应用用户提供一个虚构的表单来执行不需要的操作。

<!DOCTYPE html>
<html>
    <body>
        <form action="http://appserver:8080/myapp/users.jsf" method="POST">
            <input type="hidden" name="javax.faces.source" value="user:create"/>
            <input type="hidden" name="user:create" value="user:create"/>
            <input type="hidden" name="user" value="user"/>
            <div>
                <input type="text" name="user:name" value="FAKEUSER"/>
                <input type="text" name="user:pass" value="FAKEPASSWORD"/>
                <input type="text" name="javax.faces.ViewState" value="1185295409278172717:-3206872038807094332"/>
            </div>
            <input type="submit" name="submit" value="Create User"/>
        </form>
    </body>
</html>

我在 SO 上读到 ViewState 是防止 CSRF 的 JSF 方式。但是在我们的网络应用程序中可能会出现以下场景（如果重要的话，使用 HTTP 协议）。

攻击者访问我们的应用登录页面以在其页面源中找到有效的 ViewState。
攻击者使用他的 ViewState 准备上述 HTML 文件并发送给受害者。
受害者在浏览器中打开 HTML 文件并提交（来自本地文件系统，例如 file:///C:/... 或由本地网络服务器托管）
用户已创建。

结论是我们这个场景中的webapp/JSF并没有检查接收到的ViewState是否属于JSESSIONID标识的会话。

这不是漏洞吗？我怎样才能避免这种情况？

解决方法

在我们的例子中，这是我们应用程序中的一个错误。我们还使用了 Deltaspike 库并在我们的应用中注册了一个“处理所有异常”类。

import org.apache.deltaspike.core.api.exception.control.ExceptionHandler;
import org.apache.deltaspike.core.api.exception.control.Handles;
import org.apache.deltaspike.core.api.exception.control.event.ExceptionEvent;

@ExceptionHandler
public class ExceptionDispatcher {

    public void processException(@Handles ExceptionEvent<Throwable> evt) {
        // Handle exception by just logging
    }
}

这也“处理”了 javax.faces.application.ViewExpiredException，如果 JSF 发现无效的 ViewState，则会发生这种情况。结果，请求被正常处理。

更好的实现将重定向到错误页面并使会话无效。

如何防止 JSF 2.2 接受来自不同会话的 ViewState？

如何解决如何防止 JSF 2.2 接受来自不同会话的 ViewState？

解决方法

相关推荐