CS.XXE.TEXT_READER
可能的 XML 外部实体 (XXE) 攻击
CS.XXE.TEXT_READER 检查器会标记 XML 输入的由配置较弱的 XmlTextReader 分析程序处理的实例。
漏洞与风险
XML 外部实体攻击是一种针对解析 XML 输入的应用程序的攻击。当包含对外部实体进行引用的 XML 输入由配置较弱的 XML 分析程序处理时，会发生此攻击。这种攻击可能导致机密数据泄露、拒绝服务、服务器端请求伪造、从分析程序所在机器的角度进行端口扫描，以及其他系统影响。
缓解与预防
防止 XXE 攻击的最安全方法是完全禁用 DTD（外部实体）。根据分析程序的不同，方法可能会有所不同。例如，在 .NET 4.5.2+ 中，XmlTextReader 认禁用 DTD，只有使用具有默认或不安全设置的非 null XmlResolver 时才会出现安全风险。
漏洞代码示例
复制
static void LoadXML()
{
string xxePayload = "<!DOCTYPE doc [<!ENTITY win SYSTEM 'file:///C:/Users/SecretData.txt'>]>"
+ "<doc>&win;</doc>";
string xml = "<?xml version='1.0' ?>" + xxePayload;
XmlTextReader reader = new XmlTextReader(xml);
reader.XmlResolver = new XmlUrlResolver(); // Defect: XmlTextReader.XmlResolver configured
// with XmlUrlResolver makes it unsafe
while (reader.Read())
{ ...}
}修正代码示例
复制
static void LoadXML()
{
string xxePayload = "<!DOCTYPE doc [<!ENTITY win SYSTEM 'file:///C:/Users/SecretData.txt'>]>" + "<doc>&win;</doc>";
string xml = "<?xml version='1.0' ?>" + xxePayload;
XmlTextReader reader = new XmlTextReader(xml);
reader.XmlResolver = null;
while (reader.Read())
{ ...}
}