webservice XML实体注入漏洞解决方案

最新推荐文章于 2024-01-30 17:15:17 发布

sunqiqiqi

最新推荐文章于 2024-01-30 17:15:17 发布

阅读量3.9k

点赞数

分类专栏： java-web 文章标签： xml 漏洞 web service 解决方案

本文链接：https://blog.csdn.net/qq_25446311/article/details/78432334

版权

本文介绍了webservice存在的XML实体注入漏洞，该漏洞可能导致读取任意文件、执行系统命令等严重后果。解决方案包括关闭XML解解析函数的外部实体，以及通过过滤非法字符来增强输入安全性。此外，提供了具体的代码示例和XssFilter配置建议。

摘要由CSDN通过智能技术生成

漏洞描述
目标存在webservice XML实体注入漏洞。XML是可扩展标记语言，标准通用标记语言的子集，是一种用于标记电子文件使其具有结构性的标记语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。当允许引用外部实体时，通过构造恶意内容，可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。
解决方案
(1) 关闭XML解解析函数的外部实体。
在生成xml的代码中加入：

        DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
        dbf.setExpandEntityReferences(false);

如果使用的是DOM4J的Document生成的xml请改成w3c的Document生成。代码如下：

        DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
        factory.setExpandEntityReferences(false

关注

专栏目录