[セキュリティ]XMLをparseするアプリのセキュリティ|2009-06-21 - T.Teradaの日記

「XML」「セキュリティ」という単語でWeb検索すると、多くヒットするのはXMLデジタル署名やXML暗号などを説明したWebページです。 本日の日記では、それとはちょっと違うテーマ（XXEと呼ばれる攻撃）について書きます。 脆弱なコードと攻撃方法 さっそく脆弱性があるサンプルプログラムです。 import java.io.*; import javax.servlet.*; import javax.servlet.http.*; import org.w3c.dom.*; import org.apache.xerces.parsers.*; import org.xml.sax.*; public class Test1 extends HttpServlet { public void service(HttpServletRequest request, HttpServletRe

[Haaaa_N]

phpときたら

[MATSUZAKI]

“[セキュリティ]XMLをparseするアプリのセキュリティ”

[secfyi]

XMLのパースに関する脆弱性の解説。非公開ファイルの閲覧とDoS。