XXE漏洞 一、漏洞简介 XXE漏洞是XML外部实体注入的缩写,当开发人员配置网站XML解析功能允许外部实体引用,攻击者可以利用此安全配置问题,发生攻击事件 二、漏洞危害 1、任意文件读取 2、命令执行 3、攻击内网网站 4、内网端口探测 5、拒接服务攻击 三、修复建议 1、做好安全配置,在不影响业务的情况下,禁止引用外部实体 2、预定义字符转义 3、黑名单过滤用户提交XML数据的关键词