XXE原理简介、防御方案

作者：小丑西瓜9 | 2024-05-18 21:28:17

踩

xxe

一、XXE原理

XXE(XML External Entity
Injection):XML外部实体注入，由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。
某些应用程序允许XML 格式的数据输入和解析，可以通过引入外部实体的方式进行攻击。
构造恶意 DTD

XML约束简介

在这里插入图片描述

二、XXE自查

检查是否用到了XML解析功能，是否限制DTD功能可以查询是否使用了DocumentBuilderFactory、SAXReader、XMLInputFactory、XMLReader、XStream、SAXBuilder、SAXParserFactory、SAXTransformerFactory、SchemaFactory、TransformerFactory类库

三、XXE防御

禁用DTD或开启“安全处理”配置
在这里插入图片描述

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/小丑西瓜9/article/detail/589952