Uso ESAPI en JSP

Buenas noches, les comparto algunos ejemplos de como utilizar ESAPI en los jsp.  Saludos.

En los JSP se harán los imports de ESAPI y esto va al inicio del jsp.

<%@page import="org.owasp.esapi.ESAPI" %>

Lo siguiente es encontrar el contexto de la solicitud con

String context = request.getContextPath();

En el head del jsp indicaremos la ubicación de los siguientes js: log4js.js, esapi.js, ESAPI_Standard_en_US.properties.js, Base.esapi.properties.js.

<!-- esapi4js dependencies -->
<script type="text/javascript" language="JavaScript" src="<%=context%>/esapi4js/lib/log4js.js"></script>
<!-- esapi4js core -->
<script type="text/javascript" language="JavaScript" src="<%=context%>/esapi4js/esapi.js"></script>
<!-- esapi4js i18n resources -->
<script type="text/javascript" language="JavaScript" src="<%=context%>/esapi4js/resources/i18n/ESAPI_Standard_en_US.properties.js"></script>
<!-- esapi4js configuration -->
<script type="text/javascript" language="JavaScript" src="<%=context%>/esapi4js/resources/Base.esapi.properties.js"></script>
   
<script type="text/javascript" language="JavaScript">
   // Initialize the api
   org.owasp.esapi.ESAPI.initialize();

   // Using the logger
   $ESAPI.logger('ApplicationLogger').info(
org.owasp.esapi.Logger.EventType.EVENT_SUCCESS, 'This is a test');
</script>

En la documentación indica que deben agregarse en este orden esapi4js dependencies, esapi4js i18n resources, esapi4js configuration,  esapi4js core pero en la práctica se realizó en el siguiente orden: esapi4js dependencies,  esapi4js core, esapi4js i18n resources, esapi4js configuration
Se usara ESAPI.encode().encodeForHTML(request.getParameter(“ALGO”)) en el documento HTML mientras que en las funciones javascript se puede emplear $ESAPI.encode().encodeForHTML(“DATOS NO CONFIABLES”) o ESAPI.encode().encodeForJavaScript(“DATOS NO CONFIABLES”)

Dentro de un input existen se llama un getParameter por lo que aquí es inseguro colocarlo, utilizamos ESAPI para no permitir ataques XSS

<input type="text" name="t" value="<%=ESAPI.encoder().encodeForHTML(request.getParameter("t")==null?"":
request.getParameter("t"))%>">

En una función de JavaScript utilizamos ESAPI para usar elementos del HTML, se puede también utilizar $ESAPI.encoder().encodeForHTML(“DATOS NO CONFIABLES”) para prevenir ataques XSS

<script>
function funcion(){
      algo.innerHTML=$ESAPI.encoder().encodeForHTML(
document.myForm.t.value);
}
</script>

En cualquier parte del HTML donde se utilice alguna función JavaScript se puede incorporar ESAPI.



Nota 2:

Si permite CUALQUIER entrada no confiable de usuarios dentro de las funciones JavaScript: document.write() o eval(), aun podría ejecutarse los XSS incluso después de hacer la limpieza de estos datos usando las funciones ESAPI: encodeForJavaScript() o encodeForHTML(). La razón es que los caracteres hexadecimales escapados son convertidos de nuevo a caracteres normales en el tiempo de ejecución de estas funciones.