一、XXE原理 XXE(XML External Entity Injection):XML外部实体注入，由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。 某些应用程序允许XML 格式的数据输入和解析，可以通过引入
XXE(XML External Entity
Injection):XML外部实体注入，由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。
某些应用程序允许XML 格式的数据输入和解析，可以通过引入外部实体的方式进行攻击。
构造恶意 DTD
- 检查是否用到了XML解析功能，是否限制DTD功能 可以查询是否使用了
DocumentBuilderFactory、SAXReader、XMLInputFactory、XMLReader、XStream、SAXBuilder、SAXParserFactory、SAXTransfORMerFactory、SchemaFactory、TransformerFactory类库
禁用DTD或开启“安全处理”配置
来源地址：https://blog.csdn.net/qq_37432174/article/details/128027264
--结束END--
本文标题: XXE原理简介、防御方案
本文链接: https://lsjlt.com/news/379572.html(转载时请注明来源链接)
有问题或投稿请发送至: 邮箱/279061341@qq.com QQ/279061341
2024-04-01
2024-04-03
2024-04-03
2024-01-21
2024-01-21
2024-01-21
2024-01-21
2023-12-23
回答
回答
回答
回答
回答
回答
回答
回答
回答
回答
官方手机版
微信公众号
商务合作
0