DOM解析之DOM防护-XXE(外部实体注入漏洞)

最新推荐文章于 2024-06-20 10:23:54 发布

就写一行代码

最新推荐文章于 2024-06-20 10:23:54 发布

阅读量1.2k

点赞数

分类专栏： Java 文章标签： DOM XXE XML实体注入防护

本文链接：https://blog.csdn.net/qy_0626/article/details/84257350

版权

本文介绍了如何解决XML外部实体注入（XXE）漏洞，特别是在DOM解析过程中。针对微信回调中解析XML的安全问题，提供了一段补充防护代码，并展示了将XML转换为Map的方法。参考了DocumentBuilderFactory API和相关安全防护技术文档。

摘要由CSDN通过智能技术生成

最新的项目被微信告知一个漏洞需要解决，说是“XML外部实体注入漏洞”

也就是说涉及微信回调解析xml的过程需要补充一个防止外部实体注入的代码，以下以DOM为例。

具体代码如下：

这个是一个公共的方法用来解析之前加入xml防护

package com.net.pay.wxpay.util;

import java.io.IOException;

import javax.xml.parsers.DocumentBuilder;
import javax.xml.parsers.DocumentBuilderFactory;
import javax.xml.parsers.ParserConfigurationException;

import org.apache.log4j.Logger;
import org.w3c.dom.Document;
import org.xml.sax.SAXException;

/**
 * 补充xml的防护
 * create by zhangqi 2018-11-19
 */
public class WXPayXmlUtil {
	
	private static Logger log = Logger.getLogger(WXPayXmlUtil.class);
	

	public static DocumentBuilder newDocumentBuilder() throws ParserConfigurationException {
		
		DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
		String FEATURE = null;
		try {
			// This is the PRIMARY defense. If DTDs (doctypes) are disallowed, almost all XML entity attacks are prevented
			// Xerces 2 only - http://xerces.apache.org/xerces2-j/features.html#disallow-doctype-decl
			FEATURE = "http://apache.org/xml/features/disallow-doctype-decl";