问题:
XML 注入攻击,和 SQL 注入的原理一样,都是攻击者输入恶意的代码来执行自身权限以外的功能。
XML 是存储数据的一种方式,如果在修改或者查询时,没有做转义,直接输入或输出数据,都将导
致 XML 注入漏洞。攻击者可以修改 XML 数据格式,增加新的 XML 节点,对数据处理流程产生影响。
攻击下面是一个保存注册用户信息为 XML 格式的例子:
final String GUESTROLE = "guest_role";
...
//userdata 是准备保存的 xml 数据,接收了 name 和 email 两个用户提交来的数据。
String userdata = "<USER role="+
GUESTROLE+
"><name>"+
request.getParameter("name")+
"</name><email>"+
request.getParameter("email")+
"</email></USER>";
// 保存 xml
userDao.save(userdata);
可以看到,这段代码没有进行任何的过滤操作。一个普通用户注册后,会产生这样一条数据记录:
<?xml version="1.0" encoding="UTF-8"?>
<USER role="guest_role">
<name>user1
</name>
<email>user1@a.com
</email>
</USER>
攻击者输入自己 email 时,可以输入如下代码:
user1@a.com</email></USER><USER role="admin_role"><name>lf</name><email>user2@a.com
最终用户注册后,数据就变成了:
<?xml version="1.0" encoding="UTF-8"?>
<USER role="guest_role">
<name>user1
</name>
<email>user1@a.com</email>
</USER>
<USER role="admin_role">
<name>lf</name>
<email>user2@a.com
</email>
</USER>
可以看到,多出了一条 role="admin_role" 的管理员 lf 。达到攻击目的。
修复:
对关键字符串进行转义:
& --> &
< --> <
> --> >
" --> "
' --> '
在 XML 保存和展示之前,对数据部分,单独做转义即可:
String userdata = "<USER role="+
GUESTROLE+
"><name>"+
StringUtil.xmlencode(request.getParameter("name"))+
"</name><email>"+
StringUtil.xmlencode(rrequest.getParameter("email"))+
"</email></USER>";
XML 注入与修复
zqmattack2025-06-14 12:57
相关推荐
椰椰椰耶13 小时前
【MyBatis】XML实现,配置方法和增、删、改、查旷世奇才李先生1 天前
XML Schema 安装使用教程ddfa12342 天前
XML 笔记一勺菠萝丶3 天前
Spring Boot + MyBatis/MyBatis Plus:XML中循环处理List参数的终极指南李少兄14 天前
解决OSS存储桶未创建导致的XML错误阳光开朗_大男孩儿14 天前
XML读取和设置例子悟能不能悟16 天前
在 MyBatis 的xml中,什么时候大于号和小于号可以不用转义慌糖16 天前
XML重复查询一条Sql语句??怎么解决胖大和尚16 天前
在 XML 节点名称前添加前缀casual_clover17 天前
Android 中 解析 XML 字符串的几种方式