启用 HTTPS 后对 JSF 应用程序的安全威胁/攻击

Question

我在 JBoss 上运行的 RF3.3 上有一个基于 JSF2.0 的 Web 应用程序。
我非常关心 Web 应用程序的安全性。

尽管从外部世界与我的 Web 应用程序的通信将使用 HTTPS，但在为我的 Web 应用程序启用 HTTPS 后，我仍然不知道还有哪些其他安全攻击可能。

至少，Web 应用程序存在一系列安全攻击，但我的重点是 OWASP 十大安全攻击。

JSF 自动处理 XSS 和 CSRF 攻击(我也使用 ESAPI jar 来避免 CSRF 攻击)并且我已经处理了 SQL 注入(inject)攻击。

我觉得即使在启用 https 之后，Web 应用程序也会受到太多众所周知的潜在威胁/攻击。

我想告知的另一件事是:-
客户将通过 HTTPS 访问应用程序。但是我的应用程序会向另一个内部 Web 应用程序发出某种请求，并且这种通信是 HTTP。因此，协议(protocol)会从 HTTPS 更改为 HTTP，但由于此更改是在 Intranet 上，我认为不会有太大影响。

请指导我。

Answer 1

JSF automatically handles XSS

这不是真的。
是的，JSF 默认会自动转义，所以 h:outputText 其他人将正确转义 HTML 特殊字符:

escape Boolean

The escape attribute is a boolean flag that determines if sensitive HTML and XML characters should be escaped in the output generated by this component. The default value for this attribute is "true".

这会阻止 <script> 的注入(inject)标签，但不影响其他主要的 XSS 向量。 javascript: URL 不需要包含任何“敏感的 HTML 或 XML 字符”，并且 javascript: 中的 HTML 敏感字符注入(inject) <img src=...> 的 URL和 <a href="...">只会适本地逃脱以减轻攻击。

应检查由不受信任的数据组成的任何 URL 的格式是否正确，并且应将其协议(protocol)列入白名单，以针对一小部分。 “http”、“https”和“mailto”是大多数应用程序的良好默认值。

I feel even after enabling https there would be too many well known and potential threats/attacks to web application.

站点范围的 HTTPs 是一个很好的步骤。如果您已锁定 XSS、XSRF 和窃听，我将尝试的下一个攻击向量是 header-splitting .

如果我可以插入 Location header 进入您的页面，我可以导致重定向可能携带带有 GET 参数的引荐来源信息到我控制的站点。