探究Java中XXE漏洞的深层原理

c0ny1

2019-02-07

前段时间微信支付JDK又出现了XXE漏洞，原因是对前一个XXE漏洞没有修复成功。细思深层原因，是因为对Java JDK提供的API函数理解不正确，导致误用函数进行防御。我不禁思考了以下问题:

1.Java中XXE漏洞的深层原理是什么？

2.以下代码为何无法防御XXE？

1	DocumentBuilderFactory.setExpandEntityReferences(false)

3.以下代码为何能够防御XXE？

1	DocumentBuilderFactory.setFeature("http://apache.org/xml/features/disallow-doctype-decl",true)

要弄清以上问题，我们必须深入到Java内置解析器中去一探究竟。于是我打算从JDK代码层面去跟踪解析器执行的每一步操作。接下来我会用三周的文章弄清这三个问题，本周先来弄清第一个。

0x01 测试代码

Java常用解析XML的方式有DOM，SAX，JDOM和DOM4j。我编写了4种方式的XXE漏洞测试代码，运行发现，漏洞触发点都是一样的。

测试代码

说明这4种解析方式底层实现调用的API函数都是一样的。这里我选择DOM这种最常规的方式来举例。

import org.w3c.dom.Document;
import org.xml.sax.SAXException;
import javax.xml.parsers.*;
import java.io.ByteArrayInputStream;
import java.io.InputStream;

public class DOMXXETest {
    public static void main(String[] args)throws ParserConfigurationException,SAXException,Exception{
            DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
            DocumentBuilder db = dbf.newDocumentBuilder();
            String str = "<!DOCTYPE doc [ \n" +
                    "<!ENTITY xxe SYSTEM \"http://127.0.0.1:1664\">\n" +
                    "]><doc>&xxe;</doc>";
            InputStream is = new ByteArrayInputStream(str.getBytes());
            Document doc = db.parse(is);
    }
}