本文目录一览：
- 1、JSP脚本中的store xss怎么解决
- 2、JSP网站 防SQL注入，防XSS等攻击有什么好的处理办法
- 3、jsp中如何解决xss攻击问题
- 4、xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些
- 5、如何解决jsp http响应分割漏洞
JSP脚本中的store xss怎么解决
在菜单栏中。图像菜单下，格式菜单中，设置成RGB颜色，然后再点输出，就可以了。
JSP网站 防SQL注入，防XSS等攻击有什么好的处理办法
，防XSS等攻击的话，首先要选择PreparedStatement来处理sql语句！同时java后台还需要对页面中接受到的参数进行字符替换！
jsp中如何解决xss攻击问题
那就写个过滤器，把有小于号大于号等等，与标签或者SQL有关的全部替换，然后再存进数据库。具体换成什么，自己决定吧。
xss注入漏洞产生的原因？xss注入过程步骤是什么？防范xss注入的方法有哪些
对于的用户输入中出现XSS漏洞的问题，主要是由于开发人员对XSS了解不足，安全的意识不够造成的。现在让我们来普及一下XSS的一些常识，以后在开发的时候，每当有用户输入的内容时，都要加倍小心。请记住两条原则：过滤输入和转义输出。
一、什么是XSS
XSS又叫CSS (Cross Site Script) ，跨站脚本攻击。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意的特殊目的。XSS属于被动式的攻击，因为其被动且不好利用，所以许多人常呼略其危害性。
在WEB2.0时代，强调的是互动，使得用户输入信息的机会大增，在这个情况下，我们作为开发者，在开发的时候，要提高警惕。
二、XSS攻击的主要途径
XSS攻击方法只是利用HTML的属性，作各种的尝试，找出注入的方法。现在对三种主要方式进行分析。
第一种：对普通的用户输入，页面原样内容输出。
打开(限公司IP)，输 入：scriptalert(‘xss’)/script， JS脚本顺利执行。当攻击者找到这种方法后，就可以传播这种链接格式的链接 （）如：http: //go.ent.163.com/goproducttest/test.jsp?key=scriptalert(‘xss’) lt;/script，并对JSCODE做适当伪装，如：
%74%3e%61%6c%65%72%74%28%27%78%73%73%27%29%3c%2f%73%63%72%69%70%74%3e,当其 它用户当点此链接的时候，JS就运行了，造成的后果会很严重，如跳去一个有木马的页面、取得登陆用户的COOKIE等。
第二种：在代码区里有用户输入的内容
原则就是，代码区中，绝对不应含有用户输入的东西。
第三种：允许用户输入HTML标签的页面。
用户可以提交一些自定义的HTML代码，这种情况是最危险的。因为，IE浏览器默认采用的是UNICODE编码，HTML编码可以用ASCII方式来写，又可以使用”/”连接16进制字符串来写，使得过滤变得异常复杂，如下面的四个例子，都可以在IE中运行。
1，直接使用JS脚本。
img src=”javascript:alert(‘xss’)” /
2，对JS脚本进行转码。
img src=”javascript:alert(‘xss’)” /
3，利用标签的触发条件插入代码并进行转码。
img onerror=”alert(‘xss’)” /
4，使用16进制来写(可以在傲游中运行)
img STYLE=”background-image: /75/72/6c/28/6a/61/76/61/73/63/72/69/70/74/3a/61/6c/65/72/74/28/27/58/53/53/27/29/29″
以上写法等于img STYLE=”background-image: url(javascript:alert(‘XSS’))”
三、XSS攻击解决办法
请记住两条原则：过滤输入和转义输出。
具体执行的方式有以下几点：
第一、在输入方面对所有用户提交内容进行可靠的输入验证，提交内容包括URL、查询关键字、http头、post数据等
第二、在输出方面，在用户输内容中使用XMP标签。标签内的内容不会解释，直接显示。
第三、严格执行字符输入字数控制。
四、在脚本执行区中，应绝无用户输入。
如何解决jsp http响应分割漏洞
在HTTP响应头拆分攻击中具体牵涉到三个对象：
漏洞服务器：即存在漏洞的服务器。
攻击工具：比如浏览器，类似IE6.0。
攻击者：发动攻击的人。
HTTP响应头拆分攻击本质是：攻击者可以发送一个或几个HTTP指令迫使漏洞服务器产生一个攻击者构想好的输出。它可以让服务器误把几条HTTP请求看成一次完成的HTTP请求来解释。第一条请求也许攻击者部分控制着一部分，但这并不是危险的；危险的是，攻击者完全控制着第二条HTTP请求，即从HTTP状态行一直到HTTP请求的尾部。如果这样可行，攻击者就会发送多个请求指令到目标系统：第一条使得服务器完全接受两个HTTP响应，第二条响应通常是在服务器上请求一些非法资源，而服务器将会自动匹配到第二条响应，输出攻击者想要请求的资源，从而达到攻击者的目的。
通过这个思路，我们可以构造出形形色色的攻击，具体来说：
1 跨站脚本攻击（XSS）：这是一个非常普通和老式的漏洞，它可以让用户通过运行了一段javascript或者html代码后，可以截取该用户的cookie和session。但是到现在，通过一些重定向脚本发起一次XSS攻击是很困难的，尤其是当用户使用最新补丁的IE浏览器的时候，除非位置头是完全控制的。但是当结合HTTP响应头攻击确是可以非常简单实现，即使只是部分控制位置头。
2 web缓存中毒（我们称之为web损耗）：这是一个新的攻击技术，攻击者强迫服务器高速缓存中记录了第二次HTTP请求，而服务器中的高速缓存记录的第二次请求是经过攻击者精心构造的。这将成功的对目标站点进行损耗，当其他人访问目标站点时，他们仅仅读取了高速缓存里的数据，造成站点被“黑”的假象。当然，除了站点损耗之外，攻击者也可以偷取用户的session和cookie。
3 通过对用户的攻击：这是第二种方式的一个特殊情况。它对单个用户的欺骗、对服务器单个页面的损耗，和暂时的磨损，也可以偷取到特定用户的session和cookie。
4 劫持具体用户的页面敏感信息：攻击者欺骗服务器，并取得敏感用户的权限，并进入其用户的状态，访问到一些秘密信息。
5 浏览器高速缓存中毒：这也是一项最新的攻击方式，它这和跨站脚本攻击方式有点类似，唯一的差别就是攻击者强迫浏览器高速缓存中记录一个长和持续的磨损的网页，直到浏览器的高速缓存已经清洁。
对于这些我将在后面一一作介绍。
三：web高速缓存中毒的实现
由于这是一个新兴的技术，所以这个段落我将对web高速缓存中毒的实现做进一步的分析。
1 毒害反向代理高速缓存：即电子涂写。在这种方式中，攻击者将直接面向网站。当然最厉害的手法是磨损该网站的首页，这样所有客户端将都受到影响，这也是最漂亮的手段，但是这样很容易被发现。
2 毒害一台中间高速缓存服务器：迂回。这种方式被发现是很困难的，中间缓存服务器是有很多的，而且漏洞服务器不可能占有所有的中间缓存服务器，这些服务器很有可能不是在同一个地方，比如我们攻击台湾的站点，我们很有可能会先攻击一台位于美国的中间缓存服务器，即使被调查到了也是要很久的，也许我们早就有时间把所有的信息给清除。
3 毒害浏览器高速缓存：一针见血。攻击者很有可能会瞄准到一个特殊用户，例如从一个很富有的用户那里偷取到证书，这样的攻击将会变得很独特而且很难实施。因为，它不同于跨站脚本攻击，而且被毒害的页面要始终保持在高速缓存中以等待受害者（即你所瞄准的用户）来装载，有时候受害者从来都不会登陆到那个页面，或者是受害者浏览器禁止了JAVA脚本的执行等等，都会造成无法成功。
四：HTTP响应头漏洞攻击基本技术。
HTTP响应头攻击把代码嵌入到用户信息中并放在HTTP头部，也发生在把用户信息和代码嵌入到重定向到的URL中，或者把脚本嵌入到cookie值或者name里。在第一条响应中，重定向的URL是HTTP响应头的一部分，第二条响应是确定cookie，cookie中的name/value是响应头中set-cookie的一部分。