JAXB- XML外部实体注入安全代码漏洞(XXE)

最新推荐文章于 2024-05-29 07:48:21 发布

qq_24702263

最新推荐文章于 2024-05-29 07:48:21 发布

阅读量2.1k

点赞数 2

分类专栏： XXE

本文链接：https://blog.youkuaiyun.com/qq_24702263/article/details/106138420

版权

本文介绍了JAXB（Java Architecture for XML Binding）的基本概念，以及XML外部实体注入（XXE）的安全风险，如文件读取、命令执行等。提供了解决XXE漏洞的方法，包括修改代码中的xmlToObjectSafe()方法，以及参考OWASP的XML External Entity Prevention Cheat Sheet进行防护。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

XXE攻击（XML External Entity），此漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。

具体的可以看：https://blog.youkuaiyun.com/qq_24702263/article/details/106137827

JAXB是什么？

JAXB实现了java对象与xml之间的转换

package com.jaxb;
 
import java.io.FileInputStream;
import java.io.StringReader;
import java.io.StringWriter;
import javax.xml.bind.JAXBContext;
import javax.xml.bind.Marshaller;
import javax.xml.bind.Unmarshaller;
import javax.xml.stream.XMLInputFactory;
import javax.xml.stream.XMLStreamReader;
 
public class TestJaxb {
	//读取文件
	public static String readContent(String file) throws Exception {
		FileInputStream input = new FileInputStream(file);
		byte[] content = new byte[2 * 1024];
		int realBytes = input.read(content);
		input.close();
		return new String(content, 0, realBytes, "UTF-8");