Lumpuhkan DTD dan entiti luaran parsing untuk mencegah serangan XXE; 2. Gunakan skema XSD yang ketat untuk mengesahkan dan membersihkan data input; 3. Hadkan bilangan sambungan entiti, saiz dokumen, dan kedalaman bersarang untuk menahan bom XML; 4. Membolehkan keselamatan WS untuk perkhidmatan sabun, mengesahkan sampul surat, dan menghadkan pendedahan WSDL; 5. Mengutamakan penggunaan format data yang lebih selamat seperti JSON dan terus mengemas kini perpustakaan pemprosesan XML. Strictly mengendalikan semua input XML melalui strategi pertahanan pelbagai lapisan untuk mencegah kebocoran data, penafian perkhidmatan dan risiko pelaksanaan kod jauh.

Perkhidmatan web sering bergantung pada XML untuk pertukaran data, terutamanya dalam sistem warisan menggunakan sabun atau protokol berasaskan XML yang lain. Walaupun XML berkuasa dan berstruktur, ia memperkenalkan risiko keselamatan-terutamanya serangan suntikan berasaskan XML , yang boleh menyebabkan kecurian data, penafian perkhidmatan, atau pelaksanaan kod jauh. Mengamankan perkhidmatan web terhadap ancaman ini memerlukan strategi pertahanan berlapis.

Inilah cara melindungi sistem anda dengan berkesan:

1. Mengesahkan dan membersihkan semua input XML

Jangan sekali -kali mempercayai data XML yang masuk. Penyerang boleh membenamkan muatan berniat jahat dalam struktur XML yang seolah -olah sah.

• Gunakan pengesahan skema yang ketat (XSD) : Tentukan dan menguatkuasakan skema yang ketat untuk XML yang diterima. Menolak sebarang dokumen yang tidak sesuai.
• Melaksanakan sanitisasi input : Strip atau melarikan diri pembinaan berbahaya seperti entiti luaran, arahan pemprosesan, atau bahagian CDATA jika tidak diperlukan.
• Tolak XML dengan DTDS (Definisi Jenis Dokumen) : Kecuali benar -benar diperlukan, lumpuhkan pemprosesan DTD sepenuhnya. Banyak serangan suntikan XML (seperti XXE) bergantung kepada DTD.

Contoh: Serangan XXE mungkin kelihatan seperti:

 <! Doctype foo [<! Entity XXE System "File: /// etc/passwd">]>>
<thata> & xxe; </data>

Jika parsing DTD diaktifkan, ini boleh mendedahkan fail pelayan sensitif.

2. Mencegah serangan XXE (entiti luaran XML)

XXE adalah salah satu kelemahan suntikan XML yang paling biasa dan berbahaya. Ia mengeksploitasi keupayaan parser untuk menyelesaikan entiti luaran.

Langkah Mitigasi:

• Lumpuhkan Resolusi Entiti Luaran dalam Parser XML anda:
  • Di Java (misalnya, menggunakan DocumentBuilder ):

     DocumentBuilderFactory Factory = DocumentBuilderFactory.NewInstance ();
    factory.setFeature ("http://apache.org/xml/features/disallow-doctype-decl", true);
    factory.setFeature ("http://xml.org/sax/features/external-general-entities", false);

  • Dalam .net, elakkan XmlDocument dengan DTDS didayakan; Gunakan XmlReader dengan tetapan selamat.
• Gunakan format data yang lebih selamat jika mungkin : Pertimbangkan beralih ke JSON melalui XML untuk perkhidmatan baru, terutamanya jika SOAP tidak diperlukan.
• Patch dan kemas kini pemproses XML : Perpustakaan yang lebih tua (seperti versi tertentu Xerces atau libxml2) telah mengetahui kelemahan XXE.

3. Pengawal terhadap Bom XML (Billion Laughs Attack)

Serangan penafian perkhidmatan ini menggunakan pengembangan entiti untuk mengambil ingatan besar-besaran.

Contoh:

 <! Doctype Bom [ 
  <! Entiti A "1234567890">
  <! Entity b "& a; & a; & a; & a; & a; & a; & a;">
  <! Entity c "& b; & b; & b; & b; & b; & b; & b; & b;">
  …
]>
<thata> & c; </data>

Malah muatan kecil boleh berkembang menjadi gigabait data.

Pertahanan:

• Tetapkan had:
  • Kiraan pengembangan entiti
  • Saiz dokumen
  • Kedalaman bersarang
• Gunakan parser yang menyokong had ini secara asli (misalnya, XMLConstants.FEATURE_SECURE_PROCESSING Java)
• Pertimbangkan menggunakan parser streaming (seperti sax atau stax) yang tidak memuat seluruh dokumen ke dalam ingatan

4. SOAP SAFICE dan WSDL antara muka

Perkhidmatan berasaskan sabun sangat terdedah jika tidak mengeras.

• Gunakan WS-Security untuk penyulitan dan penandatanganan peringkat mesej.
• Mengesahkan sampul sabun terhadap skema.
• Lumpuhkan pendedahan WSDL dalam pengeluaran jika tidak diperlukan, atau menyekat akses.
• Tonton spoofing sabun atau parameter yang mengganggu.

Petua: Gunakan alat seperti sabun UI dengan teliti dalam persekitaran ujian, tetapi pastikan titik akhir tidak terdedah kepada pengguna yang tidak dibenarkan.

Nota akhir

Serangan suntikan XML sering diabaikan dalam aplikasi moden beralih ke JSON, tetapi banyak sistem perusahaan masih bergantung pada XML. Kuncinya tidak pernah menghuraikan XML yang tidak dipercayai dengan tetapan lalai, permisif .

Ringkasan Amalan Terbaik:

• Lumpuhkan DTD dan entiti luaran
• Mengesahkan input dengan skema
• Hadkan sumber parsing
• Pastikan perpustakaan XML dikemas kini
• Lebih suka format yang lebih mudah dan lebih selamat apabila boleh dilaksanakan

Pada asasnya, merawat XML seperti mana -mana input yang tidak dipercayai -validasi, menyekat, dan mengesahkan. Kebanyakan serangan berjaya bukan kerana XML sememangnya buruk, tetapi kerana parser dibiarkan terlalu terbuka. Kunci mereka, dan anda menghapuskan kebanyakan risiko.

Atas ialah kandungan terperinci Menjamin perkhidmatan web terhadap serangan suntikan berasaskan XML. Untuk maklumat lanjut, sila ikut artikel berkaitan lain di laman web China PHP!