Citrix ADC

JSON Cross-Site Scripting Schutzprüfung

Wenn eine eingehende JSON-Nutzlast über bösartige websiteübergreifende Skriptdaten verfügt, blockiert WAF die Anforderung. In den folgenden Verfahren wird erläutert, wie Sie dies über CLI- und GUI-Schnittstellen konfigurieren können.

Konfigurieren des JSON Cross-Site Scripting Schutzes

Um den JSON XSS-Schutz zu konfigurieren, müssen Sie die folgenden Schritte ausführen:

  1. Fügen Sie das Anwendungs-Firewall-Profil als JSON hinzu.
  2. Konfigurieren der JSON-XSS-Aktion zum Blockieren bösartiger XSS-Nutzlast

Anwendungs-Firewall-Profil vom Typ JSON hinzufügen

Sie müssen zunächst ein Profil erstellen, das angibt, wie die Anwendungsfirewall Ihren JSON-Webinhalt vor JSON-XSS-Angriff schützen muss.

Geben Sie an der Eingabeaufforderung Folgendes ein:

add appfw profile <name> -type (HTML | XML | JSON)

Hinweis:

Wenn Sie den Profiltyp als JSON festlegen, sind andere Prüfungen wie HTML oder XML nicht anwendbar.

Beispiel

add appfw profile profile1 –type JSON

Beispielausgabe für JSON XSS-Verletzung

JSONXSSAction: block log stats
Payload: {"username":"<a href="jAvAsCrIpT:alert(1)">X</a>","password":"xyz"}

Log message: Aug 19 06:57:33 <local0.info> 10.106.102.21 08/19/2019:06:57:33 GMT  0-PPE-0 : default APPFW APPFW_JSON_XSS 58 0 :  10.102.1.98 12-PPE0 - profjson http://10.106.102.24/ Cross-site script check failed for object value(with violation="Bad URL: jAvAsCrIpT:alert(1)") starting at offset(12). <blocked>

Counters
   1  357000                  1 as_viol_json_xss
   3  0                       1 as_log_json_xss
   5  0                       1 as_viol_json_xss_profile appfw__(profjson)
   7  0                       1 as_log_json_xss_profile appfw__(profjson)

Konfigurieren von JSON Cross-Site Scripting Aktion

Sie müssen eine oder mehrere JSON XSS-Aktionen konfigurieren, um Ihre Anwendung vor JSON Cross-Site Scripting Angriffen zu schützen. Geben Sie an der Eingabeaufforderung Folgendes ein:

set appfw profile <name> - JSONXSSAction [block] [log] [stats] [none]

Beispiel

set appfw profile profile1 –JSONXSSAction block

Die verfügbaren Cross-Site-Skripting-Aktionen sind: Blockieren - Blockieren von Verbindungen, die gegen diese Sicherheitsprüfung verstoßen. Log - Protokollieren Sie Verstöße gegen diese Sicherheitsprüfung. Statistiken - Generieren Sie Statistiken für diese Sicherheitsprüfung. None - Deaktivieren Sie alle Aktionen für diese Sicherheitsprüfung.

Hinweis: Um eine oder mehrere Aktionen zu aktivieren, geben Sie “set appfw profile - JSONXSSAction” ein, gefolgt von den zu aktivierenden Aktionen.

Beispiel

set appfw profile profile1 -JSONSQLInjectionAction block log stat

Konfigurieren des JSON-Cross-Site Scripting (XSS) -Schutzes mit der Citrix GUI

Gehen Sie folgendermaßen vor, um die Schutzeinstellungen für Cross-Site Scripting (XSS) festzulegen.

  1. Navigieren Sie im Navigationsbereich zu Sicherheit > Profile.
  2. Klicken Sie auf der Seite Profile auf Hinzufügen.
  3. Klicken Sie auf der Seite Citrix Web App Firewall Profil unter Erweiterte Einstellungen auf Sicherheitsprüfungen.
  4. Wechseln Sie im Abschnitt Sicherheitsprüfungen zu JSON Cross-Site Scripting (XSS) -Einstellungen.
  5. Klicken Sie auf das Symbol für die ausführbare Datei neben dem Kontrollkästchen.

    JSON XSS-Sicherheitsprüfung

  6. Klicken Sie auf Aktionseinstellungen, um die Seite JSON Cross-Site Scripting Settings aufzurufen.
  7. Wählen Sie die JSON XSS-Aktionen aus.
  8. Klicken Sie auf OK.

    JSON XSS-Sicherheitsprüfung

  9. Klicken Sie auf der Seite Citrix Web App Firewall Profil unter Erweiterte Einstellungen auf Relaxationsregeln.
  10. Wählen Sie im Abschnitt Relaxationsregeln JSON Cross-Site Scripting Settings aus, und klicken Sie auf Bearbeiten .

    JSON XSS-Sicherheitsprüfung

  11. Klicken Sie auf der Seite JSON Cross-Site Scripting Relaxation Rule auf Hinzufügen, um eine JSON Cross-Site Scripting Relaxationsregel hinzuzufügen.
  12. Geben Sie die URL ein, an die die Anforderung gesendet werden soll. Alle Anfragen, die an diese URL gesendet werden, werden nicht gesperrt.
  13. Klicken Sie auf Erstellen.

    JSON XSS-Sicherheitsprüfung

JSON Cross-Site Scripting Schutzprüfung