关于dom4j的微信XXE实体注入错误，使用DocumentHelper进行解析的漏洞修补

最新推荐文章于 2024-07-16 20:25:44 发布

wtbapi

最新推荐文章于 2024-07-16 20:25:44 发布

阅读量5.7k

点赞数 2

分类专栏：漏洞修补文章标签： XXE dom4j 微信支付

本文链接：https://blog.csdn.net/wtbapi/article/details/80944244

版权

7月4日微信发来通知说存在XML实体注入漏洞，请修改。

由于自己的后台采取的dom4j的包，而且当时业务也只是对微信传入的xml进行解析处理，所以就直接使用DocumentHelper的parseText的方式进行解析，而没有使用SAXReader的方式进行，在网上搜罗了很多资料，发现处理方式都无法使用。

最后自己在看了dom4j的源代码后，发现DocumentHelper的parseText方法的实现，其实也是SAXReader实现的，再查看SAXReader源码，里面也有一个方式setFeature，于是找到了处理方式

Document doc = null;

SAXReader reader = new SAXReader();

try{
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl",true);
}

catch (SAXException e) {
// On Apache, this should be thrown when disallowing DOCTYPE
wtbapi.Log.log("A DOCTYPE was passed into the XML document","GJ.java文件错误2");
}

String encoding = getEncoding(str);

InputSource source = new InputSource(new StringReader(str));
source.setEncoding(encoding);