一、XXE原理
XXE(XML External Entity
Injection):XML外部实体注入,由于程序在解析输入的XML数据时,解析了攻击者伪造的外部实体而产生的。
某些应用程序允许XML 格式的数据输入和解析,可以通过引入外部实体的方式进行攻击。
构造恶意 DTD
二、XXE自查
- 检查是否用到了XML解析功能,是否限制DTD功能 可以查询是否使用了
DocumentBuilderFactory
、SAXReader
、XMLInputFactory
、XMLReader
、XStream
、SAXBuilder
、SAXParserFactory
、SAXTransformerFactory
、SchemaFactory
、TransformerFactory
类库
三、XXE防御
禁用DTD或开启“安全处理”配置
来源地址:https://blog.csdn.net/qq_37432174/article/details/128027264