XXE-атака
Что такое XXE-атака?
XXE-атакаАтака на XML-парсеры, использующая разрешение внешних сущностей для чтения файлов, разведки внутренних сетей или вызова отказа в обслуживании.
Атака XML External Entity (XXE) эксплуатирует XML-парсеры, которые по умолчанию разрешают внешние сущности, объявленные в DTD. Передавая документ с DOCTYPE, ссылающимся на URI file:// или http://, злоумышленник может заставить парсер прочитать локальные файлы (например, /etc/passwd), выполнить SSRF к внутренним сервисам или исчерпать ресурсы за счёт expansion-атаки типа billion laughs. Слепой XXE утекает данные через DNS или внеполосные HTTP-запросы, когда ответ не возвращается. Защита — отключение обработки DTD и внешних сущностей в каждом парсере, предпочтение JSON или XML-библиотек с безопасными значениями по умолчанию и строгая валидация входящего XML по схеме.
● Примеры
- 01
XML-документ с <!ENTITY xxe SYSTEM "file:///etc/passwd"> позволяет выгрузить файл паролей через отражённый ответ.
- 02
Слепой XXE-пейлоад инициирует DNS-запрос к серверу злоумышленника, подтверждая доступность внутренних хостов.
● Частые вопросы
Что такое XXE-атака?
Атака на XML-парсеры, использующая разрешение внешних сущностей для чтения файлов, разведки внутренних сетей или вызова отказа в обслуживании. Относится к категории Атаки и угрозы в кибербезопасности.
Что означает XXE-атака?
Атака на XML-парсеры, использующая разрешение внешних сущностей для чтения файлов, разведки внутренних сетей или вызова отказа в обслуживании.
Как защититься от XXE-атака?
Защита от XXE-атака обычно сочетает технические меры и операционные практики, как описано в определении выше.
Какие есть другие названия XXE-атака?
Распространённые альтернативные названия: Атака внешних сущностей XML.