xml中引用系统环境变量_XML外部实体注入详解｜OWASP Top 10安全风险实践（四）

本文为一些列连载文章之一，不定期更新，计划目录如下：

1. OWASP介绍
2. SQL注入
3. 命令注入
4. XML外部实体注入
5. XPATH注入
6. 反射式、DOM及存储XSS
7. 失效的身份认证和会话管理
8. 不安全的直接对象引用
9. 安全配置错误
10. 敏感信息泄露
11. 功能级访问控制缺失
12. 跨站请求伪造
13. 服务端请求伪造
14. 文件上传漏洞
15. 未验证的重定向和转发
16. 不安全的反序列化
17. 使用含有已知漏洞的组件

一、 注入

注入攻击漏洞，例如SQL，OS 以及 LDAP注入。这些攻击发生在当不可信的数据作为命令或者查询语句的一部分，被发送给解释器的时候。攻击者发送的恶意数据可以欺骗解释器，以执行计划外的命令或者在未被恰当授权时访问数据。

1. XML外部实体注入

• 漏洞利用演示

页面功能：选择并查看xml文件内容。假设选择的evil.xml文件内容为：

则结果显示了对应的文件内容和目录内容：

• 漏洞危害说明
• XXE攻击可以执行服务端任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害。

• 漏洞代码分析

"); Element ele = (Element) object; List eleAttrs =ele.attributes(); for (Attributeattr : eleAttrs) { out.println("属性名：" +attr.getName() + "--属性值：" +attr.getValue()+"
"); } Iterator itt = ele.elementIterator(); while(itt.hasNext()) { Element eleChild = (Element)itt.next(); out.println("节点名：" +eleChild.getName() + "--节点值：" +eleChild.getStringValue().replaceAll(