XXE外部实体注入漏洞的测试和修复——Java

最新推荐文章于 2024-07-08 15:09:47 发布
最新推荐文章于 2024-07-08 15:09:47 发布
阅读量5.8k 收藏 15
点赞数 6
分类专栏： Java 文章标签： java xml XXE
原文链接：https://blog.spoock.com/2018/10/23/java-xxe/
版权

测试过程：

代码检测时发现存在XXE问题，可通过自行改造的xml内容，请求存在XXE问题的接口，测试该漏洞。

比如使用如下xml，通过读取document中 testText这个Element，即可获取到test.json中的文件内容：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE entity [
  <!ENTITY file SYSTEM "file:///C:/Users/xxx/Desktop/test.json">
]>
<testText>&file;</testText>

修复方式：

采用的是org.dom4j.io.SAXReader读取xml， 修复方式如下：

	try {
		SAXReader reader = new SAXReader();
		reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
		reader.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
		reader.setFeature("http://xml.org/sax/features/external-general-entities", false);
		reader.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
	} catch (SAXException e) {
		logger.error("SAXReader init error", e);
	}

 

网上查到的一篇关于防御XXE漏洞的文章，写的挺全面，这里转来记录下。

以下内容转自：[Spoock's Blog | JAVA常见的XXE漏洞写法和防御](http://blog.spoock.com/2018/10/23/java-xxe/)

JAVA常见的XXE漏洞写法和防御

发表于 2018-10-23

说明

貌似最近经常看到有Java项目爆出XXE的漏洞并且带有CVE，包括Spring-data-XMLBean XXE漏洞、JavaMelody组件XXE漏洞解析、Apache OFBiz漏洞。微信支付SDK的XXE漏洞。本质上xxe的漏洞都是因为对xml解析时允许引用外部实体，从而导致读取任意文件、探测内网端口、攻击内网网站、发起DoS拒绝服务攻击、执行系统命令等。

apache OFBiz中的XML解析是由UtilXml.java中readXmlDocument()完成的：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18

public static Document readXmlDocument(InputStream is, boolean validate, String docDescription)
            throws SAXException, ParserConfigurationException, java.io.IOException {
        //omit java code

        Document document = null;
        /* Standard JAXP (mostly), but doesn't seem to be doing XML Schema validation, so making sure that is on... */
        DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
        factory.setValidating(validate);
        factory.setNamespaceAware(true);

        factory.setAttribute("http://xml.org/sax/features/validation", validate);
        factory.setAttribute("http://apache.org/xml/features/validation/schema", validate);

        factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
        factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
        factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
        factory.setXIncludeAware(false);
        factory.setExpandEntityReferences(false);

 

我们就有理由相信XXE漏洞是由DocumentBuilderFactory设置不当操作造成的，当然我们现在看到的是修改之后的版本；

JavaMelody中是由PayloadNameRequestWrapper.java中的parseSoapMethodName来解析XML。

1
2
3
4
5
6
7
8
9
10
11
12

private static String parseSoapMethodName(InputStream stream, String charEncoding) {
	try {
		// newInstance() et pas newFactory() pour java 1.5 (issue 367)
		final XMLInputFactory factory = XMLInputFactory.newInstance();
		final XMLStreamReader xmlReader;
		if (charEncoding != null) {
			xmlReader = factory.createXMLStreamReader(stream, charEncoding);
		} else {
			xmlReader = factory.createXMLStreamReader(stream);
		}
		// omit java code
}

 

根据JavaMelody组件XXE漏洞解析的分析，是由于xmlReader没有限制外部查询导致的XXE漏洞。

同样地，微信支付SDK的XXE漏洞和Spring-data-XMLBean XXE漏洞都是是使用了DocumentBuilderFactory没有限制外部查询而导致XXE。

从这些例子中，可以发现在Java中其实存在着非常多的解析XML的库，同时由于在Java应用中会大量地使用到XML，因此就会出现使用不同的库对XML继续解析，而编写这些代码的研发人员并没有相关的安全背景，所以就导致了层出不穷地Java XXE漏洞。

不同库的Java XXE漏洞

我们测试的Payload很简单：

1
2
3
4
5

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
        <!ENTITY xxe SYSTEM "dnslog-ip">
        ]>
<evil>&xxe;</evil>

 

DocumentBuilderFactory

错误地修复方式

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
DocumentBuilder builder = dbf.newDocumentBuilder();
String FEATURE = null;
FEATURE = "http://javax.xml.XMLConstants/feature/secure-processing";
dbf.setFeature(FEATURE, true);
FEATURE = "http://apache.org/xml/features/disallow-doctype-decl";
dbf.setFeature(FEATURE, true);
FEATURE = "http://xml.org/sax/features/external-parameter-entities";
dbf.setFeature(FEATURE, false);
FEATURE = "http://xml.org/sax/features/external-general-entities";
dbf.setFeature(FEATURE, false);
FEATURE = "http://apache.org/xml/features/nonvalidating/load-external-dtd";
dbf.setFeature(FEATURE, false);
dbf.setXIncludeAware(false);
dbf.setExpandEntityReferences(false);
// 读取xml文件内容
FileInputStream fis = new FileInputStream("path/to/xxexml");
InputSource is = new InputSource(fis);
builder.parse(is);

看似设置得很很全面，但是直接仍然会被攻击，原因就是在于DocumentBuilder builder = dbf.newDocumentBuilder();这行代码需要在dbf.setFeature()之后才能够生效；

正确地修复方式

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
String FEATURE = null;
FEATURE = "http://javax.xml.XMLConstants/feature/secure-processing";
dbf.setFeature(FEATURE, true);
FEATURE = "http://apache.org/xml/features/disallow-doctype-decl";
dbf.setFeature(FEATURE, true);
FEATURE = "http://xml.org/sax/features/external-parameter-entities";
dbf.setFeature(FEATURE, false);
FEATURE = "http://xml.org/sax/features/external-general-entities";
dbf.setFeature(FEATURE, false);
FEATURE = "http://apache.org/xml/features/nonvalidating/load-external-dtd";
dbf.setFeature(FEATURE, false);
dbf.setXIncludeAware(false);
dbf.setExpandEntityReferences(false);
DocumentBuilder builder = dbf.newDocumentBuilder();
// 读取xml文件内容
FileInputStream fis = new FileInputStream("path/to/xxexml");
InputSource is = new InputSource(fis);
Document doc = builder.parse(is);

注意DocumentBuilder builder = dbf.newDocumentBuilder();在两种不同的位置的差异性。

SAXBuilder

这个库貌似使用得不是很多。SAXBuilder如果使用默认配置就会触发XXE漏洞；如下

1
2

SAXBuilder builder = new SAXBuilder();
Document doc = builder.build(InputSource);

 

修复方法

方式1

1
2

SAXBuilder builder = new SAXBuilder(true);
Document doc = builder.build(InputSource);

 

方式2

1
2
3
4
5
6

SAXBuilder builder = new SAXBuilder();
builder.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
builder.setFeature("http://xml.org/sax/features/external-general-entities", false);
builder.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
builder.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
Document doc = builder.build(InputSource);

 

SAXParserFactory

同样地，在默认配置下就会存在XXE漏洞。

1
2
3

SAXParserFactory spf = SAXParserFactory.newInstance();
SAXParser parser = spf.newSAXParser();
parser.parse(InputSource, (HandlerBase) null);

 

修复方法

1
2
3
4
5
6
7

SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
spf.setFeature("http://xml.org/sax/features/external-general-entities", false);
spf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
spf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
SAXParser parser = spf.newSAXParser();
parser.parse(InputSource, (HandlerBase) null);

SAXReader

在默认情况下会出现XXE漏洞。

1
2

SAXReader saxReader = new SAXReader();
saxReader.read(InputSource);

 

修复方法

1
2
3
4
5
6

SAXReader saxReader = new SAXReader();
saxReader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
saxReader.setFeature("http://xml.org/sax/features/external-general-entities", false);
saxReader.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
saxReader.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
saxReader.read(InputSource);

SAXTransformerFactory

在默认情况下会出现XXE漏洞

1
2
3

SAXTransformerFactory sf = (SAXTransformerFactory) SAXTransformerFactory.newInstance();
StreamSource source = new StreamSource(InputSource);
sf.newTransformerHandler(source);

 

但是有趣的是，在默认配置，虽然能够触发XXE漏洞，但是出现运行时会报错；如下所示:

但是只是存在Web的解析记录。

修复方法

1
2
3
4
5

SAXTransformerFactory sf = (SAXTransformerFactory) SAXTransformerFactory.newInstance();
sf.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
sf.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");
StreamSource source = new StreamSource(InputSource);
sf.newTransformerHandler(source);

通过跟踪源代码发现,XMLConstants.ACCESS_EXTERNAL_DTD的内容是http://javax.xml.XMLConstants/property/accessExternalDTD,XMLConstants.ACCESS_EXTERNAL_STYLESHEET是http://javax.xml.XMLConstants/property/accessExternalStylesheet

SchemaFactory

在默认情况下也会出现XXE漏洞。

1
2
3

SchemaFactory factory = SchemaFactory.newInstance("http://www.w3.org/2001/XMLSchema");
StreamSource source = new StreamSource(ResourceUtils.getPoc1());
Schema schema = factory.newSchema(InputSource);

 

和SAXTransformerFactory虽然在运行时会报错，当时仍然能够触发XXE。

同样也只存在Web的解析记录。

修复方法

1
2
3
4
5

SchemaFactory factory = SchemaFactory.newInstance("http://www.w3.org/2001/XMLSchema");
factory.setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, "");
factory.setProperty(XMLConstants.ACCESS_EXTERNAL_SCHEMA, "");
StreamSource source = new StreamSource(InputSource);
Schema schema = factory.newSchema(source);

和SAXTransformerFactory的修复原理一样就不作说明了。

TransformerFactory

使用默认的解析方法会存在XXE问题。

1
2
3

TransformerFactory tf = TransformerFactory.newInstance();
StreamSource source = new StreamSource(InputSource);
tf.newTransformer().transform(source, new DOMResult());

 

修复方法

1
2
3
4
5

TransformerFactory tf = TransformerFactory.newInstance();
tf.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
tf.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");
StreamSource source = new StreamSourceInputSource);
tf.newTransformer().transform(source, new DOMResult());

ValidatorSample

使用默认的解析方法会存在XXE问题

1
2
3
4
5

SchemaFactory factory = SchemaFactory.newInstance("http://www.w3.org/2001/XMLSchema");
Schema schema = factory.newSchema();
Validator validator = schema.newValidator();
StreamSource source = new StreamSource(InputSource);
validator.validate(source);

 

修复方法

1
2
3
4
5
6
7

SchemaFactory factory = SchemaFactory.newInstance("http://www.w3.org/2001/XMLSchema");
Schema schema = factory.newSchema();
Validator validator = schema.newValidator();
validator.setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, "");
validator.setProperty(XMLConstants.ACCESS_EXTERNAL_SCHEMA, "");
StreamSource source = new StreamSource(InputSource);
validator.validate(source);

XMLReader

使用默认的解析方法会存在XXE问题

1
2

XMLReader reader = XMLReaderFactory.createXMLReader();
reader.parse(new InputSource(InputSource));

 

修复方法

1
2
3
4
5
6

XMLReader reader = XMLReaderFactory.createXMLReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
reader.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
reader.setFeature("http://xml.org/sax/features/external-general-entities", false);
reader.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
reader.parse(new InputSource(InputSource));

Unmarshaller

使用默认的解析方法不会存在XXE问题，这也是唯一一个使用默认的解析方法不会存在XXE的一个库。

1
2
3
4
5

Class tClass = Some.class;
JAXBContext context = JAXBContext.newInstance(tClass);
Unmarshaller um = context.createUnmarshaller();
Object o = um.unmarshal(ResourceUtils.getPoc1());
tClass.cast(o);

 

总结

其实，通过对不同的XML解析库的修复方式可以发现，XXE的防护值需要限制带外实体的注入就可以了，修复方式也简单，需要设置几个选项为发false即可，可能少许的几个库可能还需要设置一些其他的配置，但是都是类似的。

总体来说修复方式都是通过设置feature的方式来防御XXE。两种方法分别是：

1
2
3
4

"http://apache.org/xml/features/disallow-doctype-decl", true 
"http://apache.org/xml/features/nonvalidating/load-external-dtd", false
"http://xml.org/sax/features/external-general-entities", false
"http://xml.org/sax/features/external-parameter-entities", false

 

配置如上。

另外一种是：

1
2

XMLConstants.ACCESS_EXTERNAL_DTD, ""
XMLConstants.ACCESS_EXTERNAL_STYLESHEET, ""

 

本质上XXE的问题就是一个配置不当的问题，即容易发现也容易防御，但是前提是需要知道有这个漏洞，这也是就是很多开发人员因为不知道XXE最终写出了含有漏洞的代码。

以上。

参考

Java服务XXE漏洞防御方法

Sword_Shi
关注
专栏目录
XXE漏洞以及XXE漏洞如何修复
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
09-09 2万+
XXE漏洞是什么？XXE：XML External Entity 即外部实体，从安全角度理解成XML External Entity attack 外部实体注入攻击。由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。这些就称为XXE漏洞。知道XXE漏洞前首先得先了解XML。XXE漏洞如何修复的方案一：使用开发语言提供的禁用外部实体的方法1.PHP开发语言禁用外部实体的方法：libxml_disable_entity_loader(true);XXE漏洞如何修复的方案二：尽量不要让用户直接
Web安全 XXE漏洞的 测试和利用.（读取服务器的任何文件 和 收集服务器的内网信息.）
网络安全领域___专研者.
03-08 6574
XXE漏洞全称（XML External Entity Injection），即XML外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成：文件读取、命令执行、内网端口扫描、攻击内网网站，DOS攻击 等危害.（xxe漏洞触发的点往往是可以上传xml文件的位置的，没有对上传的xml文件进行过滤，导致可上传恶意xml文件.）
《JAVA代码审计》（1）JAXB血案之 XML外部实体注入漏洞(XXE)
午夜安全
04-22 4692
（3）@XmlElement：将Java对象的属性映射为xml的节点，在使用@XmlElement时，可通过name属性改变java对象属性在xml中显示的名称。（2）@XmlAccessorType：用于指定由Java对象生成xml文件时对Java对象属性的访问方式。（4）@XmlAttribute：将Java对象的属性映射为xml的属性，并且可通过name属性为生成的xml属性指定别名。（1）@XmlRootElement：用于类级别的注释，对应XML的根节点。
提供xml外部实体注入攻击的详细解说
最新发布
qq_38140936的博客
07-08 1072
常见的支持xinclude特性的xml解析器都是默认关闭xinclude特性的，如果使用，需要在代码中手动开启，如在DOM型解析器中开启如下配置。常见的支持xinclude特性的xml解析器都是默认关闭xinclude特性的，如果使用，需要在代码中手动开启，如在DOM型解析器中开启如下配置。如果程序中不对解析实体做限制的话，可以通过少量的DTD定义，实现海量大小的解析结果的效果，会大量占用服务器的处理、存储。通过构造特定格式的xml文档，读取服务器上指定文件的内容，达到敏感信息获取的目的。
XXE外部实体注入漏洞之——漏洞攻防测试
温柔小薛的博客
04-12 770
漏洞攻防测试 概述 利用 xxe 漏洞可以进行拒绝服务攻击（插入DOS攻击），文件读取，命令(代码)执行（需要在编译安装php时，将命令执行模块也安装了），SQL(XSS)注入，内外扫描端口（远程包含漏洞），入侵内网站点等，内网探测和入侵是利用 xxe 中支持的协议进行内网主机和端口发现，可以理解是使用 xxe 进行 SSRF 的利用，基本上都能做 一般 xxe 利用分为两大场景：有回显和无回显。...
安全测试 - 第二课之XXE 漏洞
撒忆雨
07-23 427
英文简称：XXE 英文全称：XML Extension Entity Injection 中文全称：XML 外部实体注入 XML是⼀种⾮常流⾏的标记语⾔。它⽤于配置⽂件，⽂档格式（如OOXML，ODF，PDF，RSS，…），图像格式（SVG， EXIF标题）和⽹络协议（WebDAV，CalDAV，XMLRPC，SOAP，XMPP，SAML， XACML，…） 常⻅的xml注⼊攻击如下所示： 攻击原理主要是： 在解析外部实体的过程中，XML解析器可以根据URL中指定的⽅案（协议）来查询各种⽹络协议和服务（D
XXE利用及修复
uuzfumo的博客
11-04 492
XXE学习的第二天，目标是XXE的利用
Java代码审计安全篇-XXE(XML外部实体注入)漏洞
m0_63138919的博客
03-14 2148
本文章参考qax的网络安全java代码审计和部分师傅审计思路，记录自己的学习过程，还希望各位博主 师傅 大佬 勿喷，还希望大家指出错误
【渗透测试】XXE漏洞原理
ssrf
12-06 716
目录一、XXE是什么？二、具体实验1、有回显读本地敏感文件2、无回显读本地敏感文件 一、XXE是什么？ 普通的 XML 注入： 这类似于xss攻击，向源码中插入我们构造好的标签完成攻击。 XXE(XML External Entity Injection) 全称为 XML 外部实体注入 二、具体实验 1、有回显读本地敏感文件 实验环境phpStudy 2018 PHP 5.4.45 PHP <?php libxml_disable_entity_loader (false); $xm
【网络安全】JAVA代码审计—— XXE外部实体注入
HBohan的博客
01-14 1149
想要了解XXE，在那之前需要了解XML的相关基础
xxe-xml外部实体注入
nigo134的博客
07-27 2983
一、XXE 是什么 介绍 XXE 之前，我先来说一下普通的 XML 注入，这个的利用面比较狭窄，如果有的话应该也是逻辑漏洞 如图所示： 既然能插入 XML 代码，那我们肯定不能善罢甘休，我们需要更多，于是出现了 XXE XXE(XML External Entity Injection) 全称为 XML 外部实体注入，从名字就能看出来，这是一个注入漏洞，注入的是什么？XML外部实体。(看到这里肯定有人要说：你这不是在废话)，固然，其实我这里废话只是想强调我们的利用点是 外部实体 ，也是提醒读者将
Java代码审计——WebGoat XML外部实体注入(XXE)
m0_61506558的博客
11-16 790
在进行代码分析之前，要先懂漏洞产生的原理，不妨看看这篇文章，WebGoat上面描述的也不错，值得研读。
XXE(XML External Entity attack)XML外部实体注入攻击
xiaoi123的博客
08-15 2190
导语 　　XXE：XML External Entity 即外部实体，从安全角度理解成XML External Entity attack 外部实体注入攻击。由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。例如PHP中的simplexml_load 默认情况下会解析外部实体，有XXE漏洞的标志性函数为simplexml_load_string（）。 　　尽管XXE漏洞已经...
XXE漏洞解析(带代码演示+靶场实战）
wudideaqing的博客
06-13 1753
XXE（XML External Entity）是一种安全漏洞，发生在应用程序解析XML输入时。攻击者可以通过该漏洞插入恶意的外部实体，从而获取系统文件或执行其他恶意操作。核心是我们输入的代码,会被当作xml代码执行XML（可扩展标记语言，Extensible Markup Language）是一种用于表示结构化信息的标记语言。它由W3C（万维网联盟）开发，用于存储和传输数据。XML的主要特点包括：1、自我描述：XML文档包含数据以及数据的结构信息，使用标签来标记数据。
XXE漏洞利用详情和修复
汤圆的博客
02-12 792
简介 xxe也就是xml外部实体注入,简单理解就是当允许引用外部实体时， XML数据在传输中有可能会被不法分子被修改，如果服务器执行被恶意插入的代码，就可以实现攻击的目的攻击者可以通过构造恶意内容，就可能导致任意文件读取，系统命令执行，内网端口探测，攻击内网网站等危害。 实验环境 PHP版本：5.5.45 中间件：apache 复现平台：漏洞练习平台 利用详情 复制burp生成的地址 ,然后在x...
XML 外部实体 (XXE) 漏洞及其修复方法
allway2的博客
07-27 6050
PHP拥有可能是最流行的后端Web应用程序语言的称号，因此，它是攻击者的主要目标，包括XXE攻击。由于攻击者经常发现新的漏洞，因此必须保持您的PHP版本是最新的以保护您的应用程序。它们不能用于获取二进制文件，或包含类似于XML但实际上不是有效XML的代码的文件。XXE（XML外部实体注入）是一种常见的基于Web的安全漏洞，它使攻击者能够干扰Web应用程序中XML数据的处理。虽然是一个常见的漏洞，但通过良好的编码实践和一些特定于语言的建议，可以轻松实现防止XXE攻击。...
网安学习日志4.9（XXE漏洞）
qq_61035923的博客
04-09 989
xxe漏洞复现
web漏洞-xml外部实体注入(XXE)
rumil的博客
10-09 2243
XXE漏洞全称XML External Entity Injection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题"，也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。
XML外部实体注入漏洞原理
05-24
XML外部实体注入漏洞（XML External Entity Injection, 简称XXE）是一种常见的安全漏洞，攻击者可以利用这种漏洞来读取任意文件、执行系统命令等操作。 在XML文档中，可以通过定义实体来引用外部资源，例如文件、URL等。当XML解析器解析XML文档时，如果不对外部实体进行限制，攻击者可以通过构造恶意的XML文档，将外部实体指向敏感文件或者恶意URL，从而导致漏洞。 具体来说，攻击者可以在XML文档中定义一个实体，使用DTD（Document Type Definition）语法将该实体指向一个外部文件，然后在XML文档中使用该实体。当XML解析器解析该实体时，就会将指定的外部文件读取进来，从而导致漏洞。 例如，下面的XML文档定义了一个名为“file”的实体，指向了一个敏感文件“/etc/passwd”： ``` <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE message [ <!ELEMENT message (#PCDATA)> <!ENTITY file SYSTEM "file:///etc/passwd"> ]> <message>&file;</message> ``` 如果XML解析器不对外部实体进行限制，那么解析该文档时就会读取“/etc/passwd”文件的内容，并将其包含在<message>元素中返回给应用程序，从而导致敏感信息泄漏。 为了防止XXE漏洞，可以采取以下措施： 1. 禁止使用外部实体，或者限制外部实体的使用范围。可以在XML解析器中设置相关参数，例如禁止加载外部实体、禁止解析DTD等。 2. 对外部实体进行白名单过滤，只允许加载特定的URL或文件。 3. 检查输入数据，避免恶意输入注入到XML文档中。 4. 对于持久化的XML数据，应该使用安全的XML库来处理，例如使用DOM4J或JAXB等库，这些库会自动过滤掉外部实体。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值