Выбор ответа Middle SSRF, файлы и редиректы обновлено
XXE
Вопрос
Как надёжно защититься от XXE при разборе XML?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Отключить DTD и внешние сущности в парсере или взять defusedxml. Внешние сущности обрабатывает сам парсер, и единственная надёжная мера отключить эту возможность.
Варианты ответа
- Проверять, что XML валиден по схеме XSD, до передачи в бизнес-логику
- Удалять из входа строку
<!ENTITYиSYSTEMперед разбором парсером - Разбирать XML по HTTPS, чтобы сущности не подменили по дороге
- Отключить DTD и внешние сущности в парсере или взять defusedxmlправильный ответ
Разбор
Внешние сущности обрабатывает сам парсер, и единственная надёжная мера отключить эту возможность. Валидация по XSD происходит после разбора, когда сущности уже раскрыты. Фильтр строк обходится кодировками и параметрическими сущностями. Транспорт тут ни при чём.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.