如何在所有 .jsp 文件中搜索某些标签和属性？

Question

我们在我们的网站上发现了一个 XSS 问题。我现在的工作是检查所有源代码，找出可能出现的其他地方。

我将搜索限制在特定的 JSF 问题上。但无论我想搜索什么，该解决方案都应该有效。

基本上我想要一个 JSF 文件列表。我需要获取具有此条件的列表：搜索所有具有 <h:outputText 标记并在该标记中具有“转义”属性和包含“{”

的“值”属性的所有 *.jsp 文件

我还没有在工作中使用静态源代码分析器。

关于如何进行此类搜索的任何想法？

我的大部分搜索都涉及使用 TextPad 的正则表达式搜索。但我希望关于如何解决这个问题可能会有一些更好的想法。

Answer 1

在*.jsp 中搜索escape="false"。这应该足够了。要修复 XSS 漏洞，您应该确保它不输出用户控制的输入，然后删除 escape="false" 属性。如果此用户控制的输入打算按字面意思重新显示为 HTML，那么您希望首先从邮件标签中清除它。另见this answer。