微信支付XXE漏洞修复

hanbb1982

于 2018-09-21 10:32:06 发布

阅读量1.7k

点赞数 1

分类专栏：微信

本文链接：https://blog.youkuaiyun.com/hanbb1982/article/details/82797720

版权

微信专栏收录该内容

1 篇文章

订阅专栏

1.场景还原

2.原因分析

所谓的外部实体注入漏洞，主要是在xml转map的时候处理不得当造成的，所以接下来的修复工作主要在xml解析类中下功夫

3.实现方案

由于我们用的是.net的开发环境。所以在原有解析xml的代码上添加一句就可以

XmlDocument xmlDoc = new XmlDocument();
           
            xmlDoc.LoadXml(xml);
            XmlNode xmlNode = xmlDoc.FirstChild;//获取到根节点<xml>
            XmlNodeList nodes = xmlNode.ChildNodes;

在空格处添加

XmlDocument xmlDoc = new XmlDocument();
             xmlDoc.XmlResolver = null;
            xmlDoc.LoadXml(xml);
            XmlNode xmlNode = xmlDoc.FirstChild;//获取到根节点<xml>
            XmlNodeList nodes = xmlNode.ChildNodes;

这样就ok了。