XML External Entity Injection

若使用的 XML 剖析器未設定為阻止或限制外部實體解析，可能會使剖析器暴露於 XML 外部實體攻擊

XML 外部實體攻擊憑藉的是在處理時會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行設定，否則外部實體會強制 XML 剖析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，進而導致本機系統的 denial of service、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的 denial of service。

以下 ABAP 程式碼示範了不安全的 XML 剖析：

...
DATA(ixml) = cl_ixml=>create( ).
DATA(stream_factory) = ixml->create_stream_factory( ).
istream = stream_factory->create_istream_string(
  `<?xml version="1.0" encoding="UTF-8"?> ` &&
  `<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> ` &&
  `<stockCheck>&xxe;</stockCheck>` ).
istream->set_dtd_restriction( level = 0 ).
DATA(document) = ixml->create_document( ).
parser = ixml->create_parser(
                          stream_factory = stream_factory
                          istream        = istream
                          document       = document ).
parser->set_validating( mode = `0` ).
DATA(rc) = parser->parse( ).
...

若 XML 剖析器嘗試以檔案內容取代實體，則此範例可以洩漏 Linux 系統上「/etc/passwd」密碼檔案的內容。

若使用的 XML 剖析器未設定為阻止或限制外部實體解析，可能會使剖析器暴露於 XML 外部實體攻擊

XML 外部實體攻擊憑藉的是在處理時會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行設定，否則外部實體會強制 XML 解析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，可用於執行本機系統的服務阻絕、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的服務阻絕。

以下 XML 文件顯示了 XXE 攻擊的範例。

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///c:/winnt/win.ini" >]><foo>&xxe;</foo>

在此範例中，若 XML 解析器嘗試以 C:\winnt\win.ini 系統檔案的內容取代實體，會導致洩漏該檔案的內容。

識別的方法允許外部實體參照。此呼叫可讓攻擊者將 XML 外部實體注入 XML 文件以顯示檔案內容或內部網路資源。

XML External Entity (XXE) Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 該資料會寫入<ENTITY> XML 文件內 DTD (文件類型定義) 的元素。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況下，攻擊者可能會插入巢狀實體參照並造成 XML 解析器不斷大量消耗 CPU 資源。在較為惡意的 XML External Entity Injection 情況下，攻擊者可能會新增 XML 元素，以此來暴露本機檔案系統資源內容或顯示出存在的內部網路資源。

範例 1：此為易於受 XXE 攻擊的 Objective-C 程式碼：

- (void) parseSomeXML: (NSString *) rawXml {

    BOOL success;
    NSData *rawXmlConvToData = [rawXml dataUsingEncoding:NSUTF8StringEncoding];
    NSXMLParser *myParser = [[NSXMLParser alloc] initWithData:rawXmlConvToData];
    [myParser setShouldResolveExternalEntities:YES];
    [myParser setDelegate:self];
}

假設攻擊者能夠控制 rawXml 內容，使 XML 與下列相似：

 <?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

當 XML 受伺服器評估時，<foo> 元素會包含 boot.ini 檔案的內容。

若使用的 XML 處理器不會阻止或限制外部實體解析，則會導致應用程式遭受 XML 外部實體攻擊。

XML 外部實體攻擊憑藉的是在執行階段會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行配置，否則外部實體會強制 XML 剖析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，攻擊者可使用這類攻擊執行本機系統的阻斷服務、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的阻斷服務。


範例 1：以下 XML 文件顯示了 XXE 攻擊的範例。

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///dev/random" >]><foo>&xxe;</foo>

在此範例中，若 XML 剖析器嘗試以 /dev/random 檔案的內容取代實體，會導致伺服器當機 (在 UNIX 系統上)。

識別的方法允許外部實體參照。此呼叫可讓攻擊者將 XML 外部實體注入 XML 文件以顯示檔案內容或內部網路資源。

XML External Entity (XXE) Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 該資料寫入至 XML 文件內 DTD (文件類型定義) 的 <ENTITY> 元素。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況下，攻擊者可能會插入巢狀實體參照並造成 XML 解析器不斷大量消耗 CPU 資源。在較為惡意的 XML External Entity Injection 情況下，攻擊者可能會新增 XML 元素，以此來暴露本機檔案系統資源內容或顯示出存在的內部網路資源。

範例 1：此為易於受 XXE 攻擊的程式碼：

- (void) parseSomeXML: (NSString *) rawXml {

    BOOL success;
    NSData *rawXmlConvToData = [rawXml dataUsingEncoding:NSUTF8StringEncoding];
    NSXMLParser *myParser = [[NSXMLParser alloc] initWithData:rawXmlConvToData];
    [myParser setShouldResolveExternalEntities:YES];
    [myParser setDelegate:self];
}

假設攻擊者能夠控制 rawXml 內容，使 XML 與下列相似：

 <?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

當 XML 受伺服器評估時，<foo> 元素會包含 boot.ini 檔案的內容。

處理未經驗證的 XML 文件，可讓攻擊者變更 XML 的結構和內容、從通訊埠掃描主機伺服器或從主機掃描內部網路、從檔案系統加入任意檔案或造成應用程式 Denial of Service。

XML External Entity (XXE) Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況下，攻擊者可能會插入巢狀實體參照並造成 XML 解析器不斷大量消耗 CPU 資源。在較為惡意的 XML External Entity Injection 情況下，攻擊者可能會新增 XML 元素，以此來暴露本機檔案系統資源內容，顯示出存在的內部網路資源，或暴露後端內容本身。

範例 1：此為易於受 XXE 攻擊的程式碼：

假設攻擊者可以控制將 XML 輸入到下列程式碼：

...
<?php
$goodXML = $_GET["key"];
$doc = simplexml_load_string($goodXml);
echo $doc->testing;
?>
...

現在，假設攻擊者將下列 XML 傳遞到 Example 2 中的程式碼：

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

處理 XML 時，<foo> 元素的內容會填入系統 boot.ini 檔案的內容。攻擊者可能利用傳回到用戶端的 XML 元素竊取資料或取得資訊，以便知道有哪些網路資源。

若使用的 XML 處理器不會阻止或限制外部實體解析，則會導致應用程式遭受 XML 外部實體攻擊。

XML 外部實體攻擊憑藉的是在執行階段會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行配置，否則外部實體會強制 XML 剖析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，攻擊者可使用這類攻擊執行本機系統的阻斷服務、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的阻斷服務。


範例 1：以下 XML 文件顯示了 XXE 攻擊的範例。

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///dev/random" >]><foo>&xxe;</foo>

在此範例中，若 XML 解析器嘗試以 /dev/random 檔案的內容取代實體，會導致伺服器當機 (在 UNIX 系統上)。

若使用的 XML 剖析器未設定為阻止或限制外部實體解析，可能會使剖析器暴露於 XML 外部實體攻擊

XML 外部實體攻擊憑藉的是在處理時會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行配置，否則外部實體會強制 XML 解析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，可用於執行本機系統的阻斷服務、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的阻斷服務。

以下 XML 文件顯示了 XXE 攻擊的範例。

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///etc/passwd" >]><foo>&xxe;</foo>

XML 範例文件將讀取 /etc/passwd 的內容並將其包含在文件中。

範例 1：以下程式碼使用不安全的 XML 解析器處理來自 HTTP 要求的不可信賴的輸入。

def readFile() = Action { request =>
    val xml = request.cookies.get("doc")
    val doc = XMLLoader.loadString(xml)
    ...
}

識別的方法允許外部實體參照。此呼叫可讓攻擊者將 XML 外部實體注入 XML 文件以顯示檔案內容或內部網路資源。

XML External Entity (XXE) Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 該資料寫入至 XML 文件內 DTD (文件類型定義) 的 <ENTITY> 元素。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況下，攻擊者可能會插入巢狀實體參照並造成 XML 解析器不斷大量消耗 CPU 資源。在較為惡意的 XML External Entity Injection 情況下，攻擊者可能會新增 XML 元素，以此來暴露本機檔案系統資源內容或顯示出存在的內部網路資源。

範例 1：此為易於受 XXE 攻擊的程式碼：

func parseXML(xml: String) {
    parser = NSXMLParser(data: rawXml.dataUsingEncoding(NSUTF8StringEncoding)!)
    parser.delegate = self
    parser.shouldResolveExternalEntities = true
    parser.parse()
}

假設攻擊者能夠控制 rawXml 內容，使 XML 與下列相似：

 <?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

當 XML 受伺服器評估時，<foo> 元素會包含 boot.ini 檔案的內容。