Перестаньте доверять своему парсеру XML: глубокое погружение в XXE-инъекцию (раскрытие файлов, SSRF и слепое использован ⇐ Linux

[Anonymous]

XXE Injection остается одним из самых опасных, но неправильно понимаемых недостатков. Если ваше приложение обрабатывает XML (включая SVG или SOAP), оно, скорее всего, уязвимо для катастрофических атак.
Я опубликовал техническую информацию, показывающую, как именно злоумышленники:

• Чтение произвольных системных файлов (например, /etc/passwd).
• Выполнение Подделки запроса на стороне сервера (SSRF) против внутренних сетей, включая облачные службы метаданных (

  Код: Выделить всё

  169.254.169.254

  ).
• Выполните Слепой XXE посредством внешней фильтрации данных.

В статье приведены фрагменты кода для отключения обработки внешних объектов в Java, PHP и .NET.
Полный технический анализ можно прочитать здесь: [ССЫЛКА УДАЛЕНА]

Подробнее здесь: https://stackoverflow.com/questions/798 ... disclosure