XML外部实体引用风险有哪些-XML/RSS教程-PHP中文网

XML外部实体引用风险有哪些

幻夢星雲

发布： 2025-09-20 13:51:01

原创

603人浏览过

XXE风险在于XML解析器处理恶意外部实体时可导致敏感文件读取、SSRF和DoS攻击，如通过file://读取/etc/passwd、http://发起内网探测或嵌套实体引发“十亿笑声”攻击，造成信息泄露、服务瘫痪等严重后果。

xml外部实体引用风险有哪些

XML外部实体引用（XXE）风险，说白了，就是你的应用在处理XML数据时，如果没做好安全配置，攻击者就能通过构造恶意的XML，让你的服务器去访问它不该访问的文件、执行一些意想不到的操作，甚至发起拒绝服务攻击。这玩意儿，往往被开发者忽视，但一旦被利用，后果可能相当严重。它本质上是利用了XML解析器对外部实体引用的信任机制。

聊到XML外部实体引用（XXE）的风险，我个人觉得这简直是“温和的表象下藏着一把利刃”。它不像SQL注入那样直接粗暴，但其潜在的破坏力一点也不逊色。从我的经验来看，主要风险点有这么几个：

敏感文件读取 (File Disclosure)： 这是最常见也最直观的风险。攻击者可以利用外部实体引用，让服务器去读取它本地的文件，比如
```
/etc/passwd
```
登录后复制
、
```
/etc/shadow
```
登录后复制
（Linux系统下，虽然shadow文件通常权限受限，但也不是完全没机会）、各种配置文件（如数据库连接配置、应用服务器配置），甚至是源代码文件。想想看，一旦这些文件泄露，数据库凭证、API密钥、系统用户信息都可能暴露无遗，这基本上是给攻击者敞开了大门。

举个例子，一个简单的XXE payload可能长这样：
```
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>
<root>&xxe;</root>
```
登录后复制
如果服务器将XML解析结果返回，那么
```
/etc/passwd
```
登录后复制
的内容就会直接出现在响应中。
服务器端请求伪造 (SSRF - Server-Side Request Forgery)： 这也是XXE一个非常强大的能力。攻击者可以构造外部实体，让你的服务器去请求内部网络中的资源，或者访问外部的任意URL。这意味着什么？你的内部数据库、未授权的内部API、甚至是其他运行在内网的服务都可能被探测和攻击。这在很多场景下是内网渗透的起点。比如，通过SSRF探测内网端口，或者尝试访问一些只有内网才能访问的管理界面。

Gnomic智能体平台
国内首家无需魔法免费无限制使用的ChatGPT4.0，网站内设置了大量智能体供大家免费使用，还有五款语言大模型供大家免费使用~

47

查看详情

一个SSRF的例子：
```
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "http://internal-host:8080/admin"> ]>
<root>&xxe;</root>
```
登录后复制
服务器会尝试访问
```
http://internal-host:8080/admin
```
登录后复制
。

拒绝服务攻击 (DoS - Denial of Service)： 这类攻击通常利用的是“实体扩展”的特性，最经典的就是“十亿笑声”（Billion Laughs）攻击。通过层层嵌套的实体引用，一个很小的XML文件在解析时会消耗大量的内存和CPU资源，最终导致服务器崩溃或响应缓慢。这是一种资源耗尽型攻击，虽然不直接获取数据，但能让你的服务瘫痪，影响业务可用性。

“十亿笑声”的简化版：

<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
  <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
  <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
  <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
  <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
  <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>

登录后复制

解析这个会生成 10^9 个

以上就是XML外部实体引用风险有哪些的详细内容，更多请关注php中文网其它相关文章！