24｜资源注入：攻击方式为什么会升级？
王昊天
你好，我是王昊天。
在我们浏览 Web 应用的时候，我们可以看到很多不同的信息，并且它们会以不同的样式展现给我们。Web 开发者为了方便数据的管理和维护，往往会将数据内容和前端设计分开。XML 会在这个过程中扮演很重要的角色。
XML 即可扩展标记语言，它的名称来自 eXtensible Markup Language 的缩写。XML 与 HTML 不同，它仅仅被设计用来传输和存储数据，不负责数据的显示。值得一提的是，它被广泛应用于各种 Web 应用中，为数据的读取提供了极大的便利。
可是 XML 在给我们带来便利的同时，也带来了一些安全性的问题，今天让我们一起来学习它带来的安全问题吧！
XML 外部实体注入
XML 带来的安全问题主要是 XML 外部实体注入，即 XML external entity (XXE) injection，我们简称为 XXE。在对这一漏洞进行学习之前，我们首先来学习 XML 的基础知识。
XML 可扩展标记语言
XML 的意思为可扩展标记语言，它是负责数据的传输和存储的。为了让你更好地理解它，我们直接来看示例。
公开
同步至部落
取消
完成
0/2000
荧光笔
直线
曲线笔记
复制
AI
- 深入了解
- 翻译
- 解释
- 总结
XML外部实体注入（XXE）是一种常见的攻击方式，利用XML文档中的外部实体声明来实现对系统的攻击。本文首先介绍了XML的基础知识，包括XML的声明、元素和DTD文档类型定义。然后重点讲解了XXE的产生原因和危害。攻击者可以通过XXE获取隐私文件，发起SSRF攻击等。文章还详细介绍了XXE攻击的具体方式，包括利用带外方法和报错信息来获取数据。通过实战演练，读者可以深入了解XXE攻击的危害，并且加深对这一攻击方式的理解。文章还提出了防范XXE攻击的思考题，引发读者思考和讨论。总的来说，本文通过对XML外部实体注入的原理和危害进行了深入剖析，对读者理解和防范这种攻击方式具有重要的参考价值。
仅可试看部分内容，如需阅读全部内容，请付费购买文章所属专栏
《Web 漏洞挖掘实战》，新⼈⾸单¥59
《Web 漏洞挖掘实战》，新⼈⾸单¥59
立即购买
© 版权归极客邦科技所有，未经许可不得传播售卖。 页面已增加防盗追踪，如有侵权极客邦将依法追究其法律责任。
登录 后留言
全部留言(2)
- 最新
- 精选
DoHer4S防范XXE最安全的方式就是完全禁用DTD(External Entities)，XXE不仅仅会造成SSRF还会造成对XML解析器的DoS攻击，比较著名的就是Billion Laughs攻击； 还可以通过Json文件代替XML文件，使用输入白名单检测，API安全网关，WAF攻击检测等其他方式；2022-02-182
ifelse
学习打卡2023-03-23归属地：浙江
收起评论