text: XML外部實體攻擊是一種針對解析XML格式應用程式的攻擊型別之一。此類攻擊發生在配置不當的XML解析器處理指向外部實體的文件時，可能會導致敏感檔案洩露、拒絕服務攻擊、伺服器端請求偽造、埠掃描和其他系統影響。簡介.XML 1.0標準定義了XML文件結構，同時定義了實體的概念，即某種型別的儲存單元。外部一般解析實體或外部引數解析實體通常簡稱為外部實體，攻擊者可宣告特定來訪問伺服器本地或遠端內容。XML處理器假設系統識別符號為可訪問的統一資源標誌符、外部樣式表和外部Schema等等，這些同樣會導致類似的外部資源包含攻擊。此類攻擊利用系統識別符號中的檔案、Schema及相對路徑來洩露本地檔案。其他攻擊針對持續返回資料的本地資源進行，可能會導致應用程式使用過多未釋放的執行緒或行程。需要留意的是，應用程式無需明確返回資料來證明其受資訊洩露問題的影響。攻擊者可利用受控制的DNS伺服器來傳輸資料至特定子域名。攻擊示例.下列攻擊示例來自《Testing for XML Injection (OWASP-DV-008)》。訪問持續返回資料的本地資源.&lt;!DOCTYPE foo [遠端程式碼執行.當PHP載入“expect”模組時，攻擊者可使用修改過的載荷來執行遠端程式碼。洩露/etc/passwd或其他目標檔案.&lt;!DOCTYPE foo [&lt;!DOCTYPE foo [&lt;!DOCTYPE foo [&lt;!DOCTYPE foo [緩和方案.由於XML文件來自不受信的客戶端，伺服器通常無法有選擇性地進行或忽略文件型別定義中系統識別符號部分的資料。因此，管理員應配置XML處理器使用本地靜態檔案型別定義，並禁止XML文件中所宣告的定義。
metadata: erhwenkuo/wikipedia-zhtw
metadata: XML外部實體攻擊
metadata: https://zh.wikipedia.org/wiki?curid=6719626