Disable access to external entities in XML parsing

使用SAXReader读取XML数据

     SAXReader saxReader = new SAXReader();Document userDocument = null;try {// 读取xml数据为Document对象Document document = saxReader.read(new ByteArrayInputStream(xmlData.getBytes(StandardCharsets.UTF_8)));String signatureContent = document.getRootElement().element("signatureContent").getData().toString();// Base64解析获取数据byte[] byteData = Base64.decode(signatureContent);String data = new String(byteData, StandardCharsets.UTF_8);userDocument = saxReader.read(new ByteArrayInputStream(data.getBytes(StandardCharsets.UTF_8)));} catch (DocumentException e) {}

使用SonarLint扫描代码提示Disable access to external entities in XML parsing，提示风险禁止在XML解析中访问外部实体

     // 关闭DTD解析SAXReader saxReader = SAXReader.createDefault();Document userDocument = null;try {// 读取xml数据为Document对象Document document = saxReader.read(new ByteArrayInputStream(xmlData.getBytes(StandardCharsets.UTF_8)));String signatureContent = document.getRootElement().element("signatureContent").getData().toString();// Base64解析获取数据byte[] byteData = Base64.decode(signatureContent);String data = new String(byteData, StandardCharsets.UTF_8);userDocument = saxReader.read(new ByteArrayInputStream(data.getBytes(StandardCharsets.UTF_8)));} catch (DocumentException e) {result.addElement("status").addText("1");result.addElement("failReason").addText(e.getMessage());log.error("解析xml数据失败: " + e.getMessage(), e);}

使用SAXReader.createDefault()来生成解析器，里面设置关闭了DTO解析。

Disable access to external entities in XML parsing相关推荐

XML External Entities 攻击（XML外部实体注入）
使用配置的 XML 解析器无法预防和限制外部实体进行解析,这会使解析器暴露在 XML External Entities 攻击之下说明: XML External Entities 攻击可利用能够 ...
XML Parsing in a Producer-Consumer Model
XML Parsing in a Producer-Consumer Model mem_fox 翻译 (参与分:425,专家分:410) 发表:2003-11-10 下午11:16 版本: ...
XML Parsing Error: mismatched tag. Expected
用Firefox不愧为技术呆子,哪怕是一个HTML标签部规范,都会给出ERROR MESSAGE. Long long ago 习惯用IE开发,自从chrome诞生后,慢慢chrome赶走了IE,偶尔 ...
Lab: Exploiting XXE using external entities to retrieve files：利用外部实体利用 XXE 来检索文件...
利用XXE检索文件要执行从服务器的文件系统中检索任意文件的 XXE 注入攻击,您需要通过两种方式修改提交的 XML: 引入(或编辑)DOCTYPE定义包含文件路径的外部实体的元素. 编辑应用程序响应 ...
【FreeSwitch开发实践】死锁问题解决Over Session Limit 1000/Locked, Waiting on external entities
OWASP - 2021
OWASP介绍官网:http://www.owasp.org.cn/ OWASP是一个开源的.非盈利的全球性安全组织,致力于应用软件的安全研究.我们的使命是使应用软件更加安全,使企业和组织能够对应用 ...
【共读】企业信息安全建设与运维指南（二）
接上篇继续往下:[共读]企业信息安全建设与运维指南(一) 三.IDC基础安全体系建设: IDC(Internet Data Center)即互联网数据中心,为企业用户或客户提供服务,如网站应用服务.A ...
Parsing XML in J2ME
sun的原文,原文地址是http://developers.sun.com/mobility/midp/articles/parsingxml/. by Jonathan Knudsen March ...
4.XXE (XML External Entity Injection)
XXE (XML External Entity Injection) 0x01 什么是XXE XML外部实体注入若是PHP,libxml_disable_entity_loader设置为TRUE可 ...
bWAPP解题笔记——A7-Missing Functional Level Access Control
A7--Missing Functional Level Access Control 应用层访问控制缺失. Directory Traversal - Directories low 未对输入的目录 ...

Disable access to external entities in XML parsing

Disable access to external entities in XML parsing相关推荐

最新文章

热门文章