PHPプログラマのためのXXE入門

この日記はPHP Advent Calendar 2017の25日目です。前回は@watanabejunyaさんの「PHPでニューラルネットワークを実装してみる」でした。 OWASP Top 10 2017が発表され、ウェブのセキュリティ業界がざわついています。というのも、2013年版までは入っていたCSRFが外され、以下の2つの脅威が選入されたからです。 A4 XML外部実体参照(XXE) A8 安全でないデシリアライゼーション これらのうち、「A8 安全でないデシリアライゼーション」については、過去に「安全でないデシリアライゼーション(Insecure Deserialization)入門」という記事を書いていますので、そちらを参照ください。 本稿では、XML外部実体参照（以下、XXEと表記）について説明します。 XXEとは XXEは、XMLデータを外部から受け取り解析する際に生じる脆

[sucrose]

“ところで、なぜこのデモにDebian 7を用いたかというと、Debian 7で提供されているlibxml2のバージョンが2.8.0というXXE対策のされていないバージョンだからです。libxml2の2.9.0以降は、外部実体をデフォルトでは読み込まないよ

[koyhoge]

さすがの徳丸さんのXXEの丁寧な解説。

[Akaza]

XML外部実体参照を使い、意図しないファイルへのアクセスを発生させる。

[tmatsuu]

XXE知らなかった。XMLつれーな。

[kithzmky]

PHP XXE セキュリティ

[escape_artist]

SYSTEM、凶悪

[Dai_Kamijo]

さすがの徳丸さんのXXEの丁寧な解説。 / “PHPプログラマのためのXXE入門 | 徳丸浩の日記” — KOYAMA Tetsuji (@koyhoge) December 25, 2017 from Twitter https://twitter.com/Dai_Kamijo December 25, 2017 at 10:36AM via IFTTT

[ockeghem]

この日記はPHP Advent Calendar 2017の25日目です…