代码审计之XML解析注入

最新推荐文章于 2024-03-14 21:53:42 发布

aFa攻防实验室

最新推荐文章于 2024-03-14 21:53:42 发布

阅读量607

点赞数

分类专栏：代码审计文章标签：代码审计 xml

本文链接：https://blog.csdn.net/fageweiketang/article/details/100066350

版权

本文探讨了代码审计中的XML解析注入问题，指出当程序未对XML输入进行过滤和验证时，可能导致文件加载、实体注入甚至命令执行等安全风险。以Java的XMLDecoder为例，分析了一个简单的代码示例，展示未验证XML内容时，如何触发命令执行。总结强调了验证可控输入的重要性。

摘要由CSDN通过智能技术生成

0x00：介绍

渗透过程中的XML注入原因在于程序没有对接受的XML内容进行过滤和验证，而用户又可控，导致任意加载文件、实体注入、甚至命令执行等问题。代码审计方面只要查看代码有无过滤机制即可。

0x01：示例

简单示例如下，例如拿Java的XMLDecoder解析XML为例，示例代码如下。

package shuruyanzheng;

import java.io.BufferedInputStream;
import java.io.File;
import java.io.FileInputStream;
import java.beans.XMLDecoder;

public class Xmldecoder {

	public static void XMLDecode_test(String path) throws Exception {
		File file = new File(path);
		FileInputStream fis = new FileInputStream(file);
		BufferedInputStream bis = new BufferedInputStream(fis);
		XMLDecoder xd = new XMLDecoder(bis);
		xd.readObject();
		xd.close();
	}

	public static void main(String[] args) {
		String path = "test.xml";
		try {
			XMLDecode_test(path);
		} catch (Exception e) {
			e.printStackTrace();
		}
	}
}