2015 Black Hat USA: XXE漏洞全解析与防御挑战
在2015年的Blackhat USA会议上,"FileCry - The New Age of XXE"这一主题引起了广泛关注。演讲者Xiaoran Wang和Sergey Gorbaty探讨了跨站外部实体(XXE)攻击的新趋势和发现。XXE是一种利用XML解析器的特性来执行恶意代码或读取敏感数据的安全漏洞,由于其广泛存在于应用程序和服务中,尽管已有多年的研究和示例演示,但问题依然存在。 演讲首先回顾了XML标准中关于外部实体的定义,强调所有外部参数实体在理论上都应是well-formed。然而,这正是XXE攻击的基础,通过构造恶意XML文档,攻击者可以利用XML解析器将外部文件作为实体解析,进而导致代码执行或者泄露敏感信息。过去的演讲如OWASP 2010、BHUSA 2012和BHEU 2013中的示例展示了XXE攻击在不同环境下的应用,包括在SAP系统中进行隧道传输和从XML文档中提取机密数据。 演讲者指出,尽管许多应用程序依赖于第三方软件构建和运行,这使得修复变得复杂,因为不仅应用程序本身需要解决XXE问题,服务器和客户端技术同样需要相应的安全更新。他们以一个"Safe"工厂模式为例,说明了早期XML Input Factory的默认设置可能存在安全风险,因为"IS_SUPPORTING_EXTERNAL_ENTITIES"属性默认未指定,这可能导致潜在的XXE漏洞。 为了防止XXE攻击,演讲强调了设置XML Input Factory的"IS_SUPPORTING_EXTERNAL_ENTITIES"属性为false的重要性,以确保解析器不会尝试加载外部实体。此外,演讲还讨论了如何发现这些漏洞以及为何即使有大量研究和教育,此类漏洞仍然频繁出现。结论部分,演讲者可能提出了针对当前XXE威胁的防御策略和未来改进的方向,包括对开发者进行安全编码指导,以及推动更严格的软件供应链管理。 演讲的问答环节可能围绕了听众对XXE防御措施的具体实施、如何检测已存在的XXE漏洞,以及如何在不断变化的软件环境中保持警惕等问题展开。这次Blackhat USA 2015的XXE演讲深入剖析了该安全漏洞的最新动态,提醒业界继续关注并采取行动来加强应用程序的安全性。
![](https://csdnimg.cn/release/download_crawler_static/10875879/bg9.jpg)
![](https://csdnimg.cn/release/download_crawler_static/10875879/bga.jpg)
剩余47页未读,继续阅读
![application/pdf](https://img-home.csdnimg.cn/images/20210720083512.png)
![zip](https://img-home.csdnimg.cn/images/20210720083736.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![](https://csdnimg.cn/download_wenku/file_type_ask_c1.png)
![txt](https://img-home.csdnimg.cn/images/20210720083642.png)
![](https://profile-avatar.csdnimg.cn/34217a208f1f4de8a38ab3580711f8a6_fly_hps.jpg!1)
- 粉丝: 1w+
- 资源: 86
我的内容管理 展开
我的资源 快来上传第一个资源
我的收益
登录查看自己的收益我的积分 登录查看自己的积分
我的C币 登录后查看C币余额
我的收藏
我的下载
下载帮助
![](https://csdnimg.cn/release/wenkucmsfe/public/img/voice.245cc511.png)
最新资源
- 新型矿用本安直流稳压电源设计:双重保护电路
- 煤矿掘进工作面安全因素研究:结构方程模型
- 利用同位素位移探测原子内部新型力
- 钻锚机钻臂动力学仿真分析与优化
- 钻孔成像技术在巷道松动圈检测与支护设计中的应用
- 极化与非极化ep碰撞中J/ψ的Sivers与cos2φ效应:理论分析与COMPASS验证
- 新疆矿区1200m深孔钻探关键技术与实践
- 建筑行业事故预防:综合动态事故致因理论的应用
- 北斗卫星监测系统在电网塔形实时监控中的应用
- 煤层气羽状水平井数值模拟:交替隐式算法的应用
- 开放字符串T对偶与双空间坐标变换
- 煤矿瓦斯抽采半径测定新方法——瓦斯储量法
- 大倾角大采高工作面设备稳定与安全控制关键技术
- 超标违规背景下的热波动影响分析
- 中国煤矿选煤设计进展与挑战:历史、现状与未来发展
- 反演技术与RBF神经网络在移动机器人控制中的应用
![](https://img-home.csdnimg.cn/images/20220527035711.png)
![](https://img-home.csdnimg.cn/images/20220527035111.png)
![](https://csdnimg.cn/release/wenkucmsfe/public/img/green-success.6a4acb44.png)