SV.XXE.XRF
XML 外部实体攻击的可能性
当 XML 输入由配置较弱的 XML 分析程序 XMLReaderFactory 处理时，会发生此错误。
漏洞与风险
XML 外部实体攻击是一种针对解析 XML 输入的应用程序的攻击。当包含对外部实体进行引用的 XML 输入由配置较弱的 XML 分析程序处理时，会发生此攻击。这种攻击可能导致机密数据泄露、拒绝服务、服务器端请求伪造、从分析程序所在机器的角度进行端口扫描，或其他系统影响。
缓解与预防
防止 XML 外部实体攻击的最安全方法是始终完全禁用 DTD（外部实体）。根据分析程序的不同，方法可能会有所不同。
漏洞代码示例
复制
import org.xml.sax.XMLReader;
import org.xml.sax.helpers.XMLReaderFactory;
public class Test {
public void test() {
XMLReader reader = XMLReaderFactory.createXMLReader();
reader.parse("");
}
}在此示例中，Klocwork 报告第 6 行出现 SV.XXE.XRF 错误，这表示 XML 输入由配置较弱的 XML 分析程序 XMLReaderFactory 处理。
修正代码示例
复制
import org.xml.sax.XMLReader;
import org.xml.sax.helpers.XMLReaderFactory;
public class Test {
public void test(Source source) {
XMLReader reader = XMLReaderFactory.createXMLReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
reader.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
reader.setFeature("http://xml.org/sax/features/external-general-entities", false);
reader.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
reader.parse("");
}
}
