回順穿層段修復(fù)安全技術(shù)措施

回順穿層段修復(fù)安全技術(shù)措施背景“回順穿層段”是指在互聯(lián)網(wǎng)站點(diǎn)應(yīng)用系統(tǒng)中使用XXE漏洞對XML文件解析器進(jìn)行攻擊，進(jìn)而攻擊應(yīng)用系統(tǒng)中其他應(yīng)用程序甚至是web服務(wù)器，從而獲取敏感信息和實(shí)現(xiàn)遠(yuǎn)程控制的攻擊方式。該攻擊方式具有針對性強(qiáng)、攻擊成本低、攻擊難度較低等特點(diǎn)，己有多個漏洞被披露，且已被黑客廣泛應(yīng)用。修復(fù)方案1.輸入過濾XXE攻擊的本質(zhì)是利用XML帶有DTD實(shí)體的特性，控制程序引用惡意文件，達(dá)到攻擊目的。所以對于XML文檔的DTD定義，需要進(jìn)行嚴(yán)格的輸入過濾，拒絕帶有外部實(shí)體或DTD的XML文檔。嚴(yán)格限制DTD的定義只能出現(xiàn)在XML文檔中，不允許在外部編排DTD。同時，在XML文檔中不允許使用外部引用，包括DTD和實(shí)體。2.升級XML分析器版本新版XML解析器已經(jīng)修復(fù)XXE漏洞，或者在用戶指定配置的時候，可以將功能通過組件方式運(yùn)行于沙箱內(nèi)，要實(shí)現(xiàn)這個功能，就需用開發(fā)人員在代碼中調(diào)用相關(guān)API。盡管XML解析器版本的升級需要一定的測試和人力成本，但這也是保證應(yīng)用系統(tǒng)安全的必要步驟。3.修改代碼邏輯對于流程或代碼中對XML文檔進(jìn)行解析的流程，盡量避免將第三方輸入直接放入解析代碼中，因?yàn)檫@樣容易導(dǎo)致XXE攻擊的出現(xiàn)。如果實(shí)在無法避免將外部輸入合法程度進(jìn)行嚴(yán)格驗(yàn)證，可以通過后臺自定義某些標(biāo)簽或元素來實(shí)現(xiàn)。4.需要在每個應(yīng)用程序中獨(dú)立部署XML分析器這是一個建議，用來提高整個應(yīng)用系統(tǒng)的安全性。一個完整的應(yīng)用系統(tǒng)會有很多應(yīng)用程序，可能直接地和客戶端發(fā)生交互并提供服務(wù)。在此情況下，很有必要在每個獨(dú)立應(yīng)用程序中獨(dú)立部署XML解析器，以此來提高系統(tǒng)的安全性。5.設(shè)置禁止解析外部XML實(shí)體在某些情況下，應(yīng)用程序的XML解析器將外部定義的XML實(shí)體解析為數(shù)據(jù)。這可能會導(dǎo)致系統(tǒng)被XXE攻擊所破壞。避免這種情況的方法是：禁止解析外部XML實(shí)體。這種方法有益于防范XXE攻擊。6.防震散打當(dāng)黑客嘗試通過XXE攻擊來獲取系統(tǒng)的機(jī)密信息時，那么系統(tǒng)應(yīng)該有足夠的自衛(wèi)能力來應(yīng)對攻擊?？梢酝ㄟ^限制外部XML實(shí)體，對XML文檔進(jìn)行嚴(yán)格過濾，升級XML解析器，使用第三方組件等方式進(jìn)行防震散打。結(jié)論回順穿層段修復(fù)安全技術(shù)措施在應(yīng)用系統(tǒng)開發(fā)中是非常必要的，這些技術(shù)措施能夠幫助我們有效的防范XXE攻擊、保護(hù)應(yīng)用系統(tǒng)的安全性。但是需要注意的是：我們不應(yīng)該將所有的依賴他人開