java代码审计--xxe

柔光的暖阳◎ 2022-09-11 09:28 112阅读 0赞

常见关键字

Documentbuilder
    DocumentBuilderFactory
    SAXReader
    SAXParser
    SAXParserFactory
    SAXBuilder
    TransformerFactory
    reqXml
    getInputStream
    XMLReaderFactory
    .newInstance
    SchemaFactory
    SAXTransformerFactory
    javax.xml.bind
    XMLReader
    XmlUtils.get
    Validator

java解析xml的方法有多种，比较常见的有四种：DOM、DOM4J、JDOM 和SAX。

//1. DocumentBuilder 原生、可回显
    import javax.xml.parsers.DocumentBuilderFactory;
    DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
    DocumentBuilder db = dbf.newDocumentBuilder();
    StringReader sr = new StringReader(xml_con);
    InputSource is = new InputSource(sr);
    Document document = db.parse(is); 
    
    //2. saxReader 第三方库
    import org.dom4j.io.SAXReader;
    SAXReader saxReader = new SAXReader();
    Document document = saxReader.read(request.getInputStream());
    
    //3. SAXBuilder 第三方库
    import org.jdom2.input.SAXBuilder;
    SAXBuilder builder = new SAXBuilder();  
    Document document = builder.build(request.getInputStream());
    
    //4. SAXParserFactory 原生、不可回显
    import javax.xml.parsers.SAXParserFactory;
    SAXParserFactory factory  = SAXParserFactory.newInstance(); 
    SAXParser saxparser = factory.newSAXParser();
    SAXHandler handler = new SAXHandler();  
    saxparser.parse(request.getInputStream(), handler);

防御方法：

//实例化解析类之后通常会支持着三个配置
    obj.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
    obj.setFeature("http://xml.org/sax/features/external-general-entities", false);
    obj.setFeature("http://xml.org/sax/features/external-parameter-entities", false);

发表评论取消回复

表情：

评论列表（有 0 条评论，112人围观）

还没有评论，来说两句吧...

相关阅读

相关 java代码审计初试——newbee-mall审计

java代码审计初试——newbee-mall审计

比眉伴天荒/ 2024年05月23日 14:15/ 0 赞/ 90 阅读

相关 Java代码审计——servlet

Java代码审计基础笔记

红太狼/ 2024年05月23日 14:11/ 0 赞/ 75 阅读

相关 [ 代码审计篇 ] Java 代码审计常用漏洞总结

主要代码审计方法是跟踪用户输入数据和敏感函数参数回溯：跟踪用户的输入数据，判断数据进入的每一个代码逻辑是否有可利用的点，此处的代码逻辑可以是一个函数，或者是条小小的条...

红太狼/ 2024年04月29日 02:30/ 0 赞/ 98 阅读

相关 [ 代码审计篇 ] 代码审计案例详解(二) XXE代码审计案例

[ 代码审计篇 ] 代码审计案例详解(二) XXE代码审计案例XXE(XML External Entity)是指xml外部实体攻击漏洞。XML外部实体攻击是针对解析XM...

我不是女神ヾ/ 2024年04月29日 02:28/ 0 赞/ 96 阅读

相关【代码审计篇】代码审计基础了解

文章目录前言一、代码审计概述二、代码审计所需的基础能力三、代码审计的常用思路 -------------------- 前言本

本是古典何须时尚/ 2024年03月27日 00:26/ 0 赞/ 121 阅读

相关 java代码审计-SSRF

0x00 前言 SSRF 形成的原因大都是由于服务端提供了从其他服务器应用获取数据的功能且没有对目标地址做过滤与限制。比如从指定 URL 地址获取网页文本内容，加载指定地

水深无声/ 2024年03月16日 20:54/ 0 赞/ 61 阅读

相关 [ 代码审计篇 ] 代码审计思路详解

> 源代码审计是网络安全技术工作的重要内容，是安全岗位必备技能。 > > 渗透测试岗几乎都会问道代码审计，这篇文章就来聊一聊代码审计的思路。 > > 这篇文章就来聊一聊什么

曾经终败给现在/ 2023年10月01日 09:53/ 0 赞/ 35 阅读

相关代码审计

目录什么是代码审计代码审计的三种方法 1.通读全文法 2.函数回溯法

你的名字/ 2022年12月09日 00:37/ 0 赞/ 204 阅读

相关 java代码审计--xxe

常见关键字 Documentbuilder DocumentBuilderFactory SAXReader SAXParser SA

柔光的暖阳◎/ 2022年09月11日 09:28/ 0 赞/ 113 阅读

相关 java代码审计--表达式注入

一.java表达式常见引擎和语言 jexl–>表达式引擎 [Nexus Repository Manager 3 RCE 分析 -【CVE-2019-7238][Nex

た入场券/ 2022年09月11日 09:22/ 0 赞/ 264 阅读