XML 注入漏洞原理以及修复方法

最新推荐文章于 2025-03-31 13:55:28 发布

it技术分享just_free

最新推荐文章于 2025-03-31 13:55:28 发布

阅读量1.5k

点赞数 8

分类专栏：安全文章标签： xml 安全 web安全网络安全渗透测试

本文链接：https://blog.csdn.net/CHENSMALLYUN/article/details/135772068

版权

安全专栏收录该内容

87 篇文章

订阅专栏

本文探讨了XML注入漏洞，描述了其原理，如何通过修改XML实体引发安全风险，提供了检测方法（如手工测试）和针对PHP等的修复建议，包括禁用外部实体解析和使用特定函数进行防护。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

漏洞名称：XML注入

漏洞描述：可扩展标记语言 (Extensible Markup Language, XML) ，用于标记电子文件使其具
有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。 XML是标准通用标记语言 (SGML) 的子集，非常适合Web 传输。XML 提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。发现目前一些普遍使用xml的场景中都存在一种古老的XML实体注入漏洞，这可能导致较为严重的安全问题，使得攻击者可能可以任意访问服务器以及应用所在网络的任何资源；

检测条件 ：

1、被测网站使用可扩展标记语言。

检测方法：

1、通过手工篡改网站中xml实体中的头部，加入相关的读取文件或者是链接，或者是命令执行等，如 file:///path/to/file.ext ； http://url/file.ext ；php://filter/read=convert.base64-encode/resource=conf.php，类似如下代码所示：

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE nsfocus-sec [
<!ELEMENT methodname ANY >
<!ENTITY xxe SYSTEM "file:///etc/passwd" >]>
<methodcall>
<methodname>&xxe;</methodname>
</methodcall>

篡改以后，如果可读取file文件或者达到植入的命令效果，则说明存在该漏洞。

修复方案 ：

建议采取以下方式进行修复。

1、检查所使用的底层xml解析库，默认禁止外部实体的解析。
2、增强对系统的监控，防止此问题被人利用。
3、使用第三方应用代码及时升级补丁
4、对于PHP,由于simplexml_load_string函数的XML解析问题出在libxml库上,所以加载实体前可以调用这样一个函数以进行防护，参考代码：对于XMLReader和DOM方式解析,可以参考如下代码:

<?php
// with the XMLReader functionality:
$doc = XMLReader::xml($badXml,'UTF-8',LIBXML_NONET);
// with the DOM functionality:
$dom = new DOMDocument();
$dom->loadXML($badXml,LIBXML_DTDLOAD|LIBXML_DTDATTR);
?>