Fortify---XML External Entity Injection（XML实体注入）

最近在做一些有关fortify的修复工作，记录一下。

1.问题简介
XML External Entities是指利用XML特征来动态构建XML文档进行攻击。一个XML实体允许包含从指定数据源获取动态数据。外部实体允许一个XML实体包含从外部URI获取的数据。除非经过配置，否则外部实体会强制 XML 解析器访问由 URI 指定的资源，例如位于本地计算机或远程系统上的某个文件。这一行为会将应用程序暴露给 XML External Entity (XXE) 攻击，从而用于拒绝本地系统的服务，获取对本地计算机上文件未经授权的访问权限，扫描远程计算机，并拒绝远程系统的服务。

下面是一个XXE攻击的范例：

<?xml version="1.0" encoding="ISO-8859-1"?> <!ENTITY xxe SYSTEM "file:///dev/random" >]>&xxe;

如果XML解析器试着去用/dev/random文件替换XML实体，那么将导致服务器瘫痪（使用UNIX系统）。

2.建议做法
XML解析器要做另外的安全配置，不允许外部实体进入XML文档。为了防止XXE注入，不要使用诸如java.io.File, java.io.Reader or java.io.InputStream等方法来直接解析。使用有安全配置的解析器，并且使用将安全解析器作为XML源 的方法。

下面是一个解决范例：
DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setFeature(“http://apache.org/xml/features/disallow-doctype-decl”, true);
DocumentBuilder db = dbf.newDocumentBuilder();
Document document = db.parse();
Model model = (Model) u.unmarshal(document);