Java代码审计——XML 外部实体注入（XXE）_代码审计输入验证和表示-xml外部实体注入

作者：知新_RL | 2024-06-06 18:42:00

踩

代码审计输入验证和表示-xml外部实体注入

前言：

6．DocumentBuilderFactory

(二）XXE 漏洞审计

(三）XXE 漏洞修复

（四）小结

前言：

XXE 为 XML 外部实体注入。当应用程序在解析 XML 输入时，在没有禁止外部实体的加载而导致加载了外部文件及代码时，就会造成 XXE 漏洞。 XXE 漏洞可以通过 file 协议或是 FTP 协议来读取文件源码，当然也可以通过 XXE 漏洞来对内网进行探测或者功击，如图 2-96 所示。漏洞危害有：任意文件读取、内网探测、攻击内网站点、命令执行、DOS 攻击等。

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/知新_RL/article/detail/682126

Java代码审计——XML 外部实体注入（XXE）_代码审计 输入验证和表示-xml外部实体注入

前言：

Java代码审计——XML 外部实体注入（XXE）_代码审计输入验证和表示-xml外部实体注入