Соответственно, мы создали файл политики, который обеспечивает довольно похожую функциональность. Разрешены все теги форматирования текста, которые напрямую воздействуют на шрифт, цвет или выделение.

2. antisamy-ebay.xml

eBay — самый популярный сайт онлайн-аукционов во вселенной, насколько я могу судить. Это общедоступный сайт, поэтому каждый может размещать объявления с богатым HTML-содержимым. Неудивительно, что, учитывая привлекательность eBay как цели, он подвергался нескольким сложным XSS-атакам. Объявления могут содержать гораздо более богатый контент, чем, скажем, Slashdot, поэтому его поверхность атаки значительно больше.

3. antisamy-myspace.xml

MySpace был, на момент создания этого проекта, самым популярным сайтом социальной сети. Пользователям разрешалось отправлять практически любой HTML и CSS — при условии, что они не содержали JavaScript. MySpace использовал чёрный список слов для проверки HTML пользователей, из-за чего они подверглись печально известному червю Samy. Червь Samy, который использовал фрагментарные атаки в сочетании со словом, которое должно было быть в чёрном списке (eval), послужил вдохновением для этого проекта.

4. antisamy-anythinggoes.xml

Я не знаю возможного сценария использования этого файла политики. Если вы хотите разрешить все допустимые элементы HTML и CSS (но без JavaScript или явных фишинговых атак, связанных с CSS), вы можете использовать этот файл политики. Даже MySpace не был настолько безумным. Однако он служит хорошим справочником, поскольку содержит базовые правила для каждого элемента, поэтому вы можете использовать его как базу знаний при настройке других файлов политик.

ПРИМЕЧАНИЕ: Изменение поведения проверки схемы начиная с AntiSamy 1.6.0

Во время работы над улучшениями определения схемы XML (XSD) для файлов политик AntiSamy мы заметили, что AntiSamy фактически НЕ применял XSD. Поэтому мы ИЗМЕНИЛИ поведение по умолчанию, начиная с AntiSamy 1.6.0, чтобы принудительно проверять схему и не продолжать работу, если политика AntiSamy недействительна. Однако ...

мы понимаем, что разработчики могут не иметь возможности сразу исправить свои политики AntiSamy, если они не соответствуют требованиям, но при этом хотят обновить AntiSamy, чтобы получить улучшения безопасности, расширения функциональности и исправления ошибок. В связи с этим мы предоставили два способа (временно!) отключить проверку схемы:

1. Установите системное свойство Java: owasp.validator.validateschema в false. Это можно сделать в командной строке (например, -Dowasp.validator.validateschema=false) или через файл системных свойств Java. Ни одно из этих действий не требует изменения кода.

2. Измените код, использующий AntiSamy, чтобы вызвать Policy.setSchemaValidation(false) до загрузки политики AntiSamy. Это статический вызов, поэтому, если он отключён один раз, он отключён для всех новых экземпляров Policy.

Чтобы побудить пользователей AntiSamy использовать только политики, соответствующие XSD, AntiSamy всегда будет выводить предупреждение, когда проверка схемы отключена. Он либо ПРЕДУПРЕДИТ, что политика не соответствует требованиям, чтобы её можно было исправить, либо ПРЕДУПРЕДИТ, что политика соответствует требованиям, но проверка схемы ВЫКЛЮЧЕНА, поэтому проверку следует снова включить (т.е. перестать её отключать). Мы также добавили ведение журнала на уровне INFO при загрузке и проверке схем AntiSamy.

Отключение проверки схемы немедленно устарело и будет удалено в AntiSamy 1.7+

Возможность отключить новую функцию проверки схемы предназначена как временная мера, чтобы облегчить переход к корректным файлам политик AntiSamy. Мы планируем отказаться от этой функции в следующем крупном выпуске. Мы предполагаем, что это произойдёт где-то в середине–конце 2022 года, так что не скоро. Идея состоит в том, чтобы дать командам разработчиков, использующим AntiSamy напрямую или через другие библиотеки, такие как ESAPI, достаточно времени, чтобы привести свои файлы политик в соответствие со схемой до того, как проверка схемы станет обязательной.

Логирование: Введённое в 1.6.0 логирование по ошибке использовало log4j, при этом декларировало slf4j как API логирования.

Это было быстро исправлено в 1.6.1, чтобы использовать только API slf4j. AntiSamy теперь включает библиотеку slf4j-simple для логирования, но пользователи AntiSamy могут импортировать и использовать альтернативную совместимую с slf4j библиотеку логирования, если они предпочитают. Они также могут исключить slf4j-simple, если захотят.

ПРЕДУПРЕЖДЕНИЕ: Использование AntiSamy slf4j-simple без файла конфигурации выводит сообщения в буферизованном виде в стандартный вывод. В результате некоторые или все эти сообщения могут быть потеряны, если возникнет исключение, например PolicyException. Это можно исправить, настроив slf4j-simple на вывод в стандартный поток ошибок или используя альтернативный регистратор slf4j, который это делает.

3. Настройка файла политик

Возможно, вы захотите развернуть AntiSamy в конфигурации по умолчанию, но с такой же вероятностью сайт может захотеть иметь строгие, обусловленные бизнесом правила относительно того, что пользователи могут разрешить. Обсуждение, определяющее настройку, также должно учитывать поверхность атаки — она растёт пропорционально файлу политик.

4. Вызов API AntiSamy

Использовать AntiSamy легко. Вот пример вызова AntiSamy с файлом политик:

Существует несколько способов создания объекта Policy. Метод getInstance() может принимать любой из следующих параметров:

• имя файла в виде String
• объект File
• InputStream

Файлы политик также могут быть указаны по имени файла путём передачи второго аргумента в метод AntiSamy#scan(), как показано в следующих примерах:

Наконец, файлы политик также могут быть указаны непосредственно объектами File во втором параметре:

5. Анализ CleanResults

Объект CleanResults предоставляет много полезного.

• getErrorMessages() — список строк с сообщениями об ошибках — если он возвращает 0, это не означает, что атак не было!
• getCleanHTML() — чистый, безопасный HTML-вывод
• getCleanXMLDocumentFragment() — чистый, безопасный XMLDocumentFragment, который отражён в getCleanHTML()
• getScanTime() — возвращает время сканирования в секундах

Важное примечание: Метод getErrorMessages() часто вызывает путаницу. Метод getErrorMessages() не даёт тонкого ответа на вопрос «является ли этот ввод безопасным?» в утвердительном смысле, если возвращает пустой список. Вы всегда должны использовать санированный ввод, и нет никакого способа быть уверенным, что переданный ввод не содержал атак.

Процесс сериализации и десериализации, который является критически важным для эффективности санитайзера, намеренно является потерянным и будет отфильтровывать атаки через ряд векторов атак. К сожалению, одним из компромиссов этой стратегии является то, что мы не всегда знаем постфактум, что атака имела место. Таким образом, API getErrorMessages() существует для того, чтобы помочь пользователям понять, что их благонамеренный ввод соответствует требованиям системы, а не помочь разработчику обнаружить, присутствовала ли атака.

Другая документация

Дополнительную документацию можно найти на вики-странице этого проекта Github: https://github.com/nahsra/antisamy/wiki и на странице проекта OWASP AntiSamy: https://owasp.org/www-project-antisamy/

Внесение вклада в AntiSamy

Нашли ошибку?

Если вы нашли ошибку, создайте issue в репозитории AntiSamy: https://github.com/nahsra/antisamy/issues

Нашли уязвимость?

Если вы нашли уязвимость в AntiSamy, сначала проверьте список issues (см. выше), чтобы убедиться, что она ещё не была сообщена. Если нет, пожалуйста, свяжитесь напрямую с Дэйвом Уичерсом (dave.wichers at owasp.org). Пожалуйста, не сообщайте об уязвимостях через issues на GitHub, так как мы хотим обеспечить безопасность пользователей, пока исправление реализуется и развёртывается. Если вы хотите получить упоминание за обнаружение уязвимости, следуйте этому процессу.

Более подробная информация доступна в файле: SECURITY.md.

Как собрать

Вы можете легко собрать и протестировать из исходников:

Лицензия

Выпущено под лицензией BSD-3-Clause, как указано здесь: LICENSE.