XML 注入与修复

问题：

XML 注入攻击，和 SQL 注入的原理一样，都是攻击者输入恶意的代码来执行自身权限以外的功能。

XML 是存储数据的一种方式，如果在修改或者查询时，没有做转义，直接输入或输出数据，都将导

致 XML 注入漏洞。攻击者可以修改 XML 数据格式，增加新的 XML 节点，对数据处理流程产生影响。

攻击下面是一个保存注册用户信息为 XML 格式的例子：

final String GUESTROLE = "guest_role";

...

//userdata 是准备保存的 xml 数据，接收了 name 和 email 两个用户提交来的数据。

String userdata = "GUESTROLE+

">"+

request.getParameter("name")+

""+

request.getParameter("email")+

"";

// 保存 xml

userDao.save(userdata);

可以看到，这段代码没有进行任何的过滤操作。一个普通用户注册后，会产生这样一条数据记录：

user1

[email protected]

攻击者输入自己 email 时，可以输入如下代码：

[email protected]lf[email protected]

最终用户注册后，数据就变成了：

user1

[email protected]

lf

[email protected]

可以看到，多出了一条 role=“admin_role” 的管理员 lf 。达到攻击目的。

修复：

对关键字符串进行转义：

& --> &

< --> <

> --> >

" --> "

' --> '

在 XML 保存和展示之前，对数据部分，单独做转义即可：

String userdata = "GUESTROLE+

">"+

StringUtil.xmlencode(request.getParameter("name"))+

""+

StringUtil.xmlencode(rrequest.getParameter("email"))+

"";