XXE原理简介、防御方案
短信预约 -IT技能 免费直播动态提醒
一、XXE原理
XXE(XML External Entity
Injection):XML外部实体注入，由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。
某些应用程序允许XML 格式的数据输入和解析，可以通过引入外部实体的方式进行攻击。
构造恶意 DTD
二、XXE自查
- 检查是否用到了XML解析功能，是否限制DTD功能 可以查询是否使用了
DocumentBuilderFactory、SAXReader、XMLInputFactory、XMLReader、XStream、SAXBuilder、SAXParserFactory、SAXTransformerFactory、SchemaFactory、TransformerFactory类库
三、XXE防御
禁用DTD或开启“安全处理”配置
来源地址：https://blog.csdn.net/qq_37432174/article/details/128027264
免责声明：
① 本站未注明“稿件来源”的信息均来自网络整理。其文字、图片和音视频稿件的所属权归原作者所有。本站收集整理出于非商业性的教育和科研之目的，并不意味着本站赞同其观点或证实其内容的真实性。仅作为临时的测试数据，供内部测试之用。本站并未授权任何人以任何方式主动获取本站任何信息。
② 本站未注明“稿件来源”的临时测试数据将在测试完成后最终做删除处理。有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341
