XML注入是因用户输入未转义导致恶意内容破坏XML结构，如伪造admin节点提权；防范需输入验证、输出转义、使用安全API及禁用外部实体。
XML注入攻击是指攻击者通过在XML输入数据中插入恶意内容，从而改变XML文档结构或逻辑，可能导致数据泄露、服务中断或执行非授权操作。这类漏洞常见于应用程序将用户输入直接拼接到XML中而未做校验或转义的场景。
XML注入是如何发生的
当应用程序使用用户提交的数据动态构造XML文档时，如果未对特殊字符进行处理，攻击者可利用这些字符破坏原有结构。例如，XML中的<、>、&、"、'具有语法意义，若出现在文本或属性值中未被转义，可能被解析为标签或属性的一部分。
举例：假设系统接收用户名生成XML：
用户输入： John</username><admin>true</admin><username>
生成的XML：
<user><username>John</username><admin>true</admin><username></username></user>
此时攻击者伪造了admin节点，可能导致权限提升。
如何防止XML注入漏洞
防御核心是确保用户输入不会干扰XML语法结构。以下是有效措施：
- 输入验证：对所有用户输入进行白名单校验，限制允许的字符类型和长度，拒绝包含XML元字符的输入。
-
输出转义：在将数据插入XML前，对特殊字符进行实体编码。例如：
- < → > → >
- & → &
- " → "
- ' → '
- 使用安全的API：采用DOM、SAX或StAX等编程方式构建XML，而不是字符串拼接。这些API会自动处理转义。
- 采用数据绑定框架：如JAXB（Java）或xml.etree.ElementTree（Python），它们在序列化对象时会自动转义内容。
- 禁用外部实体：虽然属于XXE防护范畴，但配置XML解析器关闭DTD和外部实体能减少整体风险。
开发实践建议
在编写处理XML的代码时，始终假设用户输入不可信。优先使用结构化方法生成XML，避免手动拼接字符串。测试阶段应模拟恶意输入验证转义机制是否生效。定期更新XML解析库，防止已知漏洞被利用。
基本上就这些，关键是不把用户数据当作XML代码的一部分来处理。
