XXE漏洞解决方案（JAVA版本）

最新推荐文章于 2025-03-09 09:26:44 发布

大牛特牛

最新推荐文章于 2025-03-09 09:26:44 发布

阅读量9.5k

点赞数

分类专栏：黑客攻防

本文链接：https://blog.youkuaiyun.com/goldDaNiu/article/details/80928537

版权

黑客攻防专栏收录该内容

2 篇文章

订阅专栏

本文探讨了针对XXE（XML外部实体）漏洞的解决方案，以JAVA代码为例，展示了如何处理恶意XML输入，防止攻击者通过外部实体获取系统敏感信息。通过限制XML解析器的配置，可以有效避免此类安全问题。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

/**
* 解析xml,返回第一级元素键值对。如果第一级元素有子节点，则此节点的值是子节点的xml数据。
* @param strxml
* @return
* @throws JDOMException
* @throws IOException
*/
public static Map doXMLParse(String strxml) throws JDOMException, IOException {
//过滤关键词，防止XXE漏洞攻击
strxml = XMLUtil.filterXXE(strxml);
//
strxml = strxml.replaceFirst("encoding=\".*\"", "encoding=\"UTF-8\"");

if(null == strxml || "".equals(strxml)) {
return null;
}

Map m = new HashMap();

InputStream in = new ByteArrayInputStream(strxml.getBytes("UTF-8"));
SAXBuilder builder = new SAXBuilder();
Document doc = builder.build(in);
Element root = doc.getRootElement();
List list = root.getChildren();
Iterator it = list.iterator();
while(it.hasNext()) {
Element e = (Element) it.next();
String k = e.getName();
String v = "";
List children = e.getChildren();
if(children.isEmpty()) {
v = e.getTextNormalize();
} else {
v = XMLUtil.getChildrenText(children);
}

m.put(k, v);
}

//关闭流
in.close();

return m;
}


/**
* 防止 XXE漏洞注入实体攻击
* 过滤过滤用户提交的XML数据
* 过滤关键词：<!DOCTYPE和<!ENTITY，或者SYSTEM和PUBLIC。
*/
public static String filterXXE(String xmlStr){
xmlStr = xmlStr.replace("DOCTYPE", "").replace("SYSTEM", "").replace("ENTITY", "").replace("PUBLIC", "");
return xmlStr;

}

//*****************以下为测试攻击代码***** 内部调试用**************************

// public static void main(String[] args) {
// String strxml = XMLUtil.readFileByLines("C:\\text.xml");
// try {
// XMLUtil.doXMLParse(strxml);
// } catch (JDOMException e) {
// // TODO Auto-generated catch block
// e.printStackTrace();
// } catch (IOException e) {
// // TODO Auto-generated catch block
// e.printStackTrace();
// }

// }

C:\\text.xml 的文件内容如下：

<xml>
<!DOCTYPE a[<!ENTITY b SYSTEM "c:\\123.txt">]>
<reset>
<login>&b;</login>
<secret>login</secret>
</reset>
<return_code><![CDATA[SUCCESS]]></return_code>
<return_msg><![CDATA[OK]]></return_msg>
<appid><![CDATA[wx8775cbf90e1544d5]]></appid>
<mch_id><![CDATA[1406957502]]></mch_id>
<nonce_str><![CDATA[RyXFitfwAY0iqotC]]></nonce_str>
<sign><![CDATA[B60953438AB16569220DC885E15F8E39]]></sign>
<result_code><![CDATA[SUCCESS]]></result_code>
<prepay_id><![CDATA[wx05104307622483a7349606c80845112418]]></prepay_id>
<trade_type><![CDATA[APP]]></trade_type>
</xml>