Tsunami

Web 을 하다보면 XSS(Cross-Site Scripting) 공격등에 대비해서 보안이슈를 처리해야 하는데, 그중 많이 사용하는게 바로 필터 XSS 의 주원인이 바로 태그이기 때문. SQL Injection 의 경우 대부분 일부 특수문자 예로 주석 -- Request 문자열중 시작태그를 문자로 치환해주는 방법을 많이 사용합니다 바로 필터에서 말이죠 그 외에도 인코딩 이슈를 방지하기 위해 요청되는 문자열 인코딩을 지정해주기도 합니다 이건 뭐 10년전쯤 EUC-KR 많이 쓸때 발생하던거라 요즘도 있는진 모르겠지만.. Request.setCharset("UTF-8"); Response.setCharset("UTF-8"); 맞나.. Spring life cycle 구조인데, Request가 발생하면 ..

programing/JAVA&JSP&SERVLET&SPRING 2021. 1. 24. 22:31

jsp/servlet 을 하다보면 parameter를 확인해야 하는일이 종종 생기는데요 request.getParameter("name") 으로 확인하는 방법이 있지만 넘기는 데이터 이름을 일일히 적는게 만만치 않습니다 그리고 데이터를 못받아오는 경우도 생기는데 예로 form.submit 을 했는데 정작 input 태그가 form 밖에 있거나.. 이럴때 사용하기 좋은게 request.getParameterNames() 입니다 다만 String으로 주질 않아서 바로 사용할 수 없다는게 단점.. java.util.Enumeration paramNames = request.getParameterNames(); /* 데이터 검증 */ while(paramNames.hasMoreElements()){ String..

programing/JAVA&JSP&SERVLET&SPRING 2021. 1. 20. 20:29

DB에서 데이터를 받아올때 편의상 Map 을 많이 사용하는데요 간혹 Map 내용을 확인할 일이 발생하곤 합니다 디버그 모드를 쓰면 되긴하지만, F5, F6, F7 등등 loop끝날때까지 눌러주는것도 귀찮고 데이터 값만 슥 보기엔 디버그가 귀찮기때문데.. Key:Values로 된 데이터를 확인하려면 첫번째로 Key 가 필요한데 데이터 양이 많아지면 질수록 코드가 늘어날 수 밖에 없는데요 예로 package com; import java.util.HashMap; import java.util.Map; public class PrintMap { public static void main(String[] args) { Map map = new HashMap(); map.put("first", "1"); map...

programing/JAVA&JSP&SERVLET&SPRING 2021. 1. 19. 23:46

게시판쪽에 특수문자가 그대로 노출되는건이 있어 확인해보니 servlet 으로 파라미터가 넘어가면서 html entity가 encode 되어 넘어가 DB에 저장되고 있었다 한마디로 '(' 문자가 ( 인데 두번이다 encode 되서 ( 으로 이를 브라우져에서 해석하니 ( 로 나올수밖에.. 화면단에서 치환해도 되긴 하지만 브라우져에서 하기보단 서버에서 처리하는게 브라우져단에서의 부하를 줄이는 일이니 서버에서 넘겨주자 참고: [programing/jQuery&HTML5] - jQuery HTML Character Entity 특수문자 치환 꽤 오래되긴 했지만 이전에는 replace 혹은 replaceAll 을 사용해서 개별 치환처리를 했던 시절이 있었는데 대게 XSS 공격 방지용이긴 하지만 commons..

programing/JAVA&JSP&SERVLET&SPRING 2019. 11. 30. 21:51

웹을 하다보면 항상 문제가되는게 바로 한글이다... 특히 무시할수 없는게 브라우져(Browser) 종류가 많으니... 요즘엔 EUC-KR 대신 UTF-8 을 많이 쓰니 웹페이지에서 한글이 깨지는 경우는 줄었는데 역시나 문제가 생기긴 한다... 특히 IE가 제일 말성... IE 11 은 Agent 이름을 바꾸질 않나... 그외에는 OS 특성상 맥과 윈도우 인코딩 차이로 한글자소 분리되는 케이스가 있는데 일단은 브라우져를 확인하고 파일 다운로드 시 한글을 처리하는걸 해볼까 한다 이번에 Edge 브라우져에서 문제가 되기도 했고... HTTP Request 헤더의 User-Agent를 확인하는 방법 브라우져 확인 public String getBrowser(HttpServletRequest req) { Stri..

programing/JAVA&JSP&SERVLET&SPRING 2019. 8. 24. 17:31