XXE修复方案参考

最新推荐文章于 2024-06-14 09:25:39 发布

oscarli

最新推荐文章于 2024-06-14 09:25:39 发布

阅读量2.5k

点赞数 2

分类专栏：安全测试文章标签： XXE

本文链接：https://blog.csdn.net/oscarli/article/details/94735001

版权

XXE不同的库修复代码，略有差别，但都是通过：

1、禁止加载外部实体；
2、不允许XML中含有任何自己声明的DTD。可以解决


    例1： //DOM Read XML
            DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();     
            
            /*以下为修复代码*/ 
            //https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet#Java
        
            //禁用DTDs (doctypes),几乎可以防御所有xml实体攻击
            dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true); //首选
            
            //如果不能禁用DTDs,可以使用下两项，必须两项同时存在
            dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);        //防止外部实体POC 
            dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);   //防止参数实体POC
            /*以上为修复代码*/    
            
            DocumentBuilder db = dbf.newDocumentBuilder();        
            Document doc = db.parse(request.g