java axi webservice参数用arg0还是具体参数名_XXE漏洞那些事儿（JAVA）

最新推荐文章于 2021-03-15 22:02:17 发布

林葭音

最新推荐文章于 2021-03-15 22:02:17 发布

阅读量608

点赞数

文章标签： java axi webservice参数用arg0还是具体参数名

本文链接：https://blog.csdn.net/weixin_28481133/article/details/112087684

版权

本文探讨了JAVA中XML解析的不同方法，包括javax.xml.parsers.SAXParser、org.dom4j.io.SAXReader和org.jdom2.input.SAXBuilder，并详细介绍了如何通过设置disallow-doctype-decl、external-general-entities和external-parameter-entities属性来防御XXE攻击。通过实例展示了防御措施的效果。

摘要由CSDN通过智能技术生成

0x01 前言

之前我们学习了DocumentBuilder这个XML解析类的使用方法，还展示了如何读取本地文件以及利用XXE外带数据，当然，也简单的提到了相应的防御方法，这一章，我们将学习其他一些JAVA中常用的XML解析方法以及编码规范

0x02 javax.xml.parsers.SAXParser

使用方法如下：

import org.xml.sax.SAXException;

import javax.xml.parsers.ParserConfigurationException;
import javax.xml.parsers.SAXParser;
import javax.xml.parsers.SAXParserFactory;
import java.io.File;
import java.io.IOException;

public class Main {
    
    public static void main(String[] args) throws ParserConfigurationException, SAXException, IOException {
    
        SAXParserFactory factory = SAXParserFactory.newInstance();
        SAXParser parser = factory.newSAXParser();
        File file = new File("payload.xml");
        SaxHandler handler = new SaxHandler();
        parser.parse(file, handler);
    }
}

其中payload.xml还是上一章的那个xml文件，值得注意的的是，SaxParser在调用parse方法的时候有两个参数，其中一个是文件，另外一个是对应的handler，这个handler是我们自定义的，实现如下：

import org.xml.sax.Attributes;
import org.xml.sax.SAXException;
import org.xml.sax.helpers.DefaultHandler;

public class SaxHandler extends DefaultHandler {
    
    @Override
    public void startDocument() throws SAXException {
    
        super.startDocument();
    }

    @Override
    public void endDocument() throws SAXException {
    
        super.endDocument();
    }

    @Override
    public void startElement(String uri, String localName, String qName, Attributes attributes) throws SAXException {
    
        super.startElement