加入收藏 | 设为首页 | 会员中心 | 我要投稿 李大同 (https://www.lidatong.com.cn/)- 科技、建站、经验、云计算、5G、大数据,站长网!
当前位置: 首页 > 百科 > 正文

.net – 如何避免XML注入

发布时间:2020-12-16 07:44:38 所属栏目:百科 来源:网络整理
导读:我有输入字段值用于形成XPath查询. 我应该检查输入字符串中的哪些符号以尽量减少 XML注入的可能性? 该 document 详细描述了“盲XPath注入”的概念. 它提供了XPath注入的具体示例,并讨论了防止这种情况的方法. 在“防御XPath注入”一节中,它被说成: “防御X
我有输入字段值用于形成XPath查询.
我应该检查输入字符串中的哪些符号以尽量减少 XML注入的可能性?
document详细描述了“盲XPath注入”的概念.

它提供了XPath注入的具体示例,并讨论了防止这种情况的方法.

在“防御XPath注入”一节中,它被说成:

“防御XPath注入基本上类似于防御SQL
注射.应用程序必须清理用户输入.具体来说,单和双
引号字符应该被禁止.这可以在应用程序中完成
本身,或在第三方产品(例如应用程序防火墙).
测试应用程序对XPath注入的敏感性可以很容易地执行
注入单引号或双引号,并检查响应.如果有错误
发生了,那么很可能XPath注入是可能的.“

正如其他人所说,人们也应该注意使用轴和//缩写.如果正在使用XPath 2.0,则不应允许doc()函数,因为它允许访问具有已知URI(或文件名)的任何文档.

建议使用预编译XPath表达式的API,但保留它可以使用动态定义的参数或变量.然后,用户输入将仅定义这些参数的内容,并且永远不会将其视为已编译表达式的修改.

(编辑:李大同)

【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容!

    推荐文章
      热点阅读