使用JAXB实现XML转对象导致XXE漏洞防护

最新推荐文章于 2024-05-29 07:48:21 发布

奇歌微微

最新推荐文章于 2024-05-29 07:48:21 发布

阅读量1.4k

点赞数

CC 4.0 BY-SA版权

分类专栏： Java 文章标签： XXE JAXB

本文链接：https://blog.youkuaiyun.com/wangww3/article/details/90665695

Java 专栏收录该内容

24 篇文章

订阅专栏

博客介绍了XXE的不安全写法，存在漏洞，同时给出安全写法用于漏洞防护，还提供了XXE防护官方文档，包含各种xml转bean防护方法，此外还列出了相关参考链接。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

不安全写法，存在漏洞：

public static Object convertXmlToObj(Class clazz, String xmlStr)throws Exception {
    JAXBContext context = JAXBContext.newInstance(clazz);
    Unmarshaller unmarshaller = context.createUnmarshaller();
    return unmarshaller.unmarshal(new StringReader(xmlStr));
}

安全写法，漏洞防护：

public static Object xmlToObjectSafe(Class<?> klass, String xml) throws Exception {
    // 将外部实体、参数实体和内联DTD 都设置为false，从而避免XXE漏洞
    SAXParserFactory spf = SAXParserFactory.newInstance();
    spf.setFeature("http://xml.org/sax/features/external-general-entities", false);
    spf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
    spf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);

    // Do unmarshall operation
    Source xmlSource = new SAXSource(spf.newSAXParser().getXMLReader(), new InputSource(new StringReader(xml)));

    JAXBContext context = JAXBContext.newInstance(klass);
    Unmarshaller unmarshaller = context.createUnmarshaller();
    return unmarshaller.unmarshal(xmlSource);
}

XXE防护官方文档：（包含各种xml转bean防护方法）https://github.com/OWASP/CheatSheetSeries/blob/master/cheatsheets/XML_External_Entity_Prevention_Cheat_Sheet.md

参考：

          https://www.cnblogs.com/wfzWebSecuity/p/6681114.html
          https://blog.spoock.com/2018/10/23/java-xxe/
          https://blog.youkuaiyun.com/SouthWind0/article/details/89455611