Java代码审计——XML 外部实体注入（XXE）

目录

前言：

（一）XML 的常见接口

1．XMLReader

2．SAXBuilder

3．SAXReader

4．SAXParserFactory

5．Digester

6．DocumentBuilderFactory

(二）XXE 漏洞审计

(三）XXE 漏洞修复

（四）小结

---

前言：

XXE 为 XML 外部实体注入。当应用程序在解析 XML 输入时，在没有禁止外部实体的加载而导致加载了外部文件及代码时，就会造成 XXE 漏洞。 XXE 漏洞可以通过 file 协议或是 FTP 协议来读取文件源码，当然也可以通过 XXE 漏洞来对内网进行探测或者功击，如图 2-96 所示。漏洞危害有：任意文件读取、内网探测、攻击内网站点、命令执行、DOS 攻击等。