xxe外部实体注入漏洞

最新推荐文章于 2025-05-22 20:56:34 发布

hu4wufu

最新推荐文章于 2025-05-22 20:56:34 发布

阅读量712

点赞数

CC 4.0 BY-SA版权

分类专栏：漏洞原理

本文链接：https://blog.youkuaiyun.com/Candyys/article/details/105687545

本文介绍了XXE（XML External Entity Injection）漏洞的原理，它允许攻击者读取服务器文件、执行命令、进行内网扫描等。XML是用于标记电子文件的可拓展标记语言，而XXE漏洞源于未禁止XML数据中外部实体的加载。防御措施包括禁用外部实体和过滤特定关键词。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

XXE原理

攻击者通过干扰应用程序对XML数据的处理，从而实现读取应用程序服务器文件系统中的文件，并与应用程序本身可以访问到的任何后端或外部系统进行交互的一种Web安全漏洞。

在应用程序解析xml输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成

a:文件读取

b:命令执行

c:内网端口扫描

d:攻击内网网站

e:发起DDos攻击等

在某些情况下，攻击者可以通过利用XXE漏洞执行服务器端请求伪造攻击来升级XXE攻击以危及底层服务器或者其他后端基础架构。

XML介绍

XML(extensible markup language)是用于标记电子文件使其具有结构性的可拓展标记语言，用于存储和传输数据。与HTML一样，XML使用标签和树形结构。与HTML不同，XML不使用预定义标记，因此可以标记指定描述数据的名称。

XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。下面是XML语法结构。

<?xml version="1.0" ?> <!-- xml声明 -->
<!DOCTYPE note [ <!-- DTD文档类型定义 根元素note -->
  <!ELEMENT note (to, from, heading, body)> <!--note中的子元素-->
  <!ELEMENT to (#PCDATA)> <!-- 接收者 -->
  <!ELEMENT from (#PCDATA)> <!-- 发送者 -->
  <!ELEMENT heading (#PCDATA)> <!-- 标题 -->
  <!ELEMENT