xml实体攻击

分为外部实体攻击和内部实体攻击。

外部通用实体举例：

<?xml version="1.0" encoding="utf-8"?><!DOCTYPE admin[<!ENTITY user SYSTEM "file:///D:/user.txt">]><user><username>&user;</username><age>12</age></user>

user.txt如下：

chuchu

最终拿到的xml是这样的：

<user><username>chuchu</username><age>12</age></user>

相当于xml为我们提供了一种动态设置标签值的强大能力（果然每种语言都有要成为通用语言的野心啊。。。）

外部实体还有一种类型叫“参数实体”，其所能提供的动态能力更强，当然，可能更危险。

外部实体的英文翻译是XXE（Xml eXternal Entity）。

内部实体举例：

<?xml version="1.0" encoding="utf-8"?><!DOCTYPE a1 [<!ENTITY a1 "a1"><!ENTITY a2 "&a1;&a1;&a1;&a1;&a1;&a1;&a1;"><!ENTITY a3 "&a2;&a2;&a2;&a2;&a2;&a2;&a2;"><!ENTITY a4 "&a3;&a3;&a3;&a3;&a3;&a3;&a3;">
]>
<user><username>&a4;</username><age>12</age></user>

内部实体可以递归展开，常用来做XML Entity Expansion攻击，造成Dos（Denial of service）。

解决方法

如果我们用sax解析xml，通常会使用：

SAXReader.createDefault

该方法会禁掉如下一些实体特性：

public static SAXReader createDefault() {SAXReader reader = new SAXReader();try {reader.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);reader.setFeature("http://xml.org/sax/features/external-general-entities", false);reader.setFeature("http://xml.org/sax/features/external-parameter-entities", false);} catch (SAXException var2) {}return reader;}

这些feature的详细说明：

// This is the PRIMARY defense. If DTDs (doctypes) are disallowed, almost all
// XML entity attacks are prevented
// Xerces 2 only - http://xerces.apache.org/xerces2-j/features.html#disallow-doctype-decl
// 因为实体都定义在doctype里，所以禁掉doctype，无论外部还是内部实体攻击就都不存在了
FEATURE = "http://apache.org/xml/features/disallow-doctype-decl";
dbf.setFeature(FEATURE, true);// If you can't completely disable DTDs, then at least do the following:
// Xerces 1 - http://xerces.apache.org/xerces-j/features.html#external-general-entities
// Xerces 2 - http://xerces.apache.org/xerces2-j/features.html#external-general-entities
// JDK7+ - http://xml.org/sax/features/external-general-entities
// 禁掉外部通用实体（external general entity）。
FEATURE = "http://xml.org/sax/features/external-general-entities";
dbf.setFeature(FEATURE, false);// Xerces 1 - http://xerces.apache.org/xerces-j/features.html#external-parameter-entities
// Xerces 2 - http://xerces.apache.org/xerces2-j/features.html#external-parameter-entities
// JDK7+ - http://xml.org/sax/features/external-parameter-entities
// 禁掉外部参数实体（external general entity）。
FEATURE = "http://xml.org/sax/features/external-parameter-entities";
dbf.setFeature(FEATURE, false);// Disable external DTDs as well
// 这玩意似乎对防御实体攻击没啥用？待确认
FEATURE = "http://apache.org/xml/features/nonvalidating/load-external-dtd";
dbf.setFeature(FEATURE, false);

结论：

防御外部实体攻击，可以设置external-general-entities和external-parameter-entities选项为false
防御内部实体展开攻击，似乎只能设置disallow-doctype-decl为true了

关于xml实体攻击的讨论相关推荐

XML实体攻击：从内网探测到命令执行步步惊心
2019独角兽企业重金招聘Python工程师标准>>> XML实体攻击:从内网探测到命令执行步步惊心 XML实体攻击是利用XML语言支持实体的特性对目标进行攻击.这种攻击技术在国外已 ...
XXE(xml外部实体攻击)
1.概念 XXE(XML External Entity)是指xml外部实体攻击漏洞.XML外部实体攻击是针对解析XML输入的应用程序的一种攻击.当包含对外部实体的引用的XML输入被弱配置XML解析器 ...
%3c xml 和php冲突,[原创]WEB安全第五章漏洞学习与利用11 xml实体注入
WEB安全第五章漏洞学习与利用11 xml实体注入 XXE Injection即XML External Entity Injection,也就是XML外部实体注入攻击.漏洞是在对非安全的外部实体数 ...
漏洞之XML实体注入
XXE--XML外部实体注入程序在解析输入的XML数据时,解析了攻击者伪造的外部实体而产生的. XML是可扩展标记语言,很类型HTML语言. 但是xml语言的标签没有预定义,需要自定义标签. XML ...
【漏洞学习——XML注入】高德导航某接口XML实体注入
漏洞细节在我对高德地图离线版进行测试时抓到一个接口便进行了深入测试 http://us.autonavi.com 实际产生漏洞的接口: http://us.autonavi.com/navisoft ...
java xml 实体类_java中的xml与实体类之间的映射
实体类: package xml; import javax.xml.bind.annotation.XmlRootElement; @XmlRootElement public class User ...
java xml 实体类_XML和JAVA实体类的相互转化（微信例子）
/** * 扩展xstream,使其支持CDATA块 * */ private static XStream xstream = new XStream(new XppDriver() { publi ...
【网络安全】JAVA代码审计—— XXE外部实体注入
一.WEB安全部分想要了解XXE,在那之前需要了解XML的相关基础二.XML基础 2.1 XML语法所有的XML元素都必须有一个关闭标签 XML标签对大小写敏感 XML必须正确嵌套 XML 文档 ...
XML注入介绍--XXE，XEE,xpath等
XML注入指在请求的XML中插入攻击利用代码.根据不同的场景,可能会形成以下的漏洞形式: (1)XEE ----xml entity xpansion(xml实体膨胀,用于dos) 具体介绍:http ...

关于xml实体攻击的讨论

xml实体攻击

解决方法

关于xml实体攻击的讨论相关推荐

最新文章

热门文章