微信支付-XXE DOM4J

PYJJ 2018-07-06 09:23:34
像DocumentBuilderFactory 可以通过设置FEATURE控制外部实体引用
DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
String FEATURE = "http://apache.org/xml/features/disallow-doctype-decl";
dbf.setFeature(FEATURE, true);

那么，DOM4J如何做到禁用外部实体引用？
...全文
1452 16 打赏 收藏 转发到动态 举报
写回复
用AI写文章
16 条回复
切换为时间正序
请发表友善的回复…
发表回复
PYJJ 2018-07-10
  • 打赏
  • 举报
 回复
引用 14 楼 lzy_lizhiyang 的回复:
[quote=引用 12 楼 chengdao1204 的回复:]
[quote=引用 8 楼 networkit 的回复:]
[quote=引用 7 楼 chengdao1204 的回复:]
[quote=引用 2 楼 lzy_lizhiyang 的回复:]
SAXReader reader = new SAXReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

报错啊
Exception in thread "main" java.lang.RuntimeException: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:166)
at com.web.wechat.plugins.PayUtil.main(PayUtil.java:305)
Caused by: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at oracle.xml.parser.v2.NonValidatingParser.setFeature(NonValidatingParser.java:1968)
at oracle.xml.parser.v2.SAXParser.setFeature(SAXParser.java:270)
at org.dom4j.io.SAXReader.setFeature(SAXReader.java:218)
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:157)
... 1 more
[/quote]

我试了是可以哦，没有报错，你用的是什么版本？[/quote]


我访问这些地址都是404的，http://apache.org/xml/features/disallow-doctype-decl 你能访问嘛？[/quote]

不能访问不影响使用的。从你报错的日志来看，使用了oracle的xml解析，可以把这个jar包剔除，只使用dom4j即可。[/quote]

谢谢 是这样的 翻遍了所有xml的jar找到了这玩意 xmlparserv2.jar
u010364702 2018-07-09
  • 打赏
  • 举报
 回复
走过，路过！
PYJJ 2018-07-09
  • 打赏
  • 举报
 回复
引用 8 楼 networkit 的回复:
[quote=引用 7 楼 chengdao1204 的回复:]
[quote=引用 2 楼 lzy_lizhiyang 的回复:]
SAXReader reader = new SAXReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

报错啊
Exception in thread "main" java.lang.RuntimeException: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:166)
at com.web.wechat.plugins.PayUtil.main(PayUtil.java:305)
Caused by: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at oracle.xml.parser.v2.NonValidatingParser.setFeature(NonValidatingParser.java:1968)
at oracle.xml.parser.v2.SAXParser.setFeature(SAXParser.java:270)
at org.dom4j.io.SAXReader.setFeature(SAXReader.java:218)
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:157)
... 1 more
[/quote]

我试了是可以哦，没有报错，你用的是什么版本？[/quote]


我访问这些地址都是404的，http://apache.org/xml/features/disallow-doctype-decl 你能访问嘛？
PYJJ 2018-07-09
  • 打赏
  • 举报
 回复
引用 8 楼 networkit 的回复:
[quote=引用 7 楼 chengdao1204 的回复:]
[quote=引用 2 楼 lzy_lizhiyang 的回复:]
SAXReader reader = new SAXReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

报错啊
Exception in thread "main" java.lang.RuntimeException: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:166)
at com.web.wechat.plugins.PayUtil.main(PayUtil.java:305)
Caused by: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at oracle.xml.parser.v2.NonValidatingParser.setFeature(NonValidatingParser.java:1968)
at oracle.xml.parser.v2.SAXParser.setFeature(SAXParser.java:270)
at org.dom4j.io.SAXReader.setFeature(SAXReader.java:218)
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:157)
... 1 more
[/quote]

我试了是可以哦，没有报错，你用的是什么版本？[/quote]


dom4j1.6.1
在远行的路上 2018-07-09
  • 打赏
  • 举报
 回复
引用 12 楼 chengdao1204 的回复:
[quote=引用 8 楼 networkit 的回复:]
[quote=引用 7 楼 chengdao1204 的回复:]
[quote=引用 2 楼 lzy_lizhiyang 的回复:]
SAXReader reader = new SAXReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

报错啊
Exception in thread "main" java.lang.RuntimeException: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:166)
at com.web.wechat.plugins.PayUtil.main(PayUtil.java:305)
Caused by: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at oracle.xml.parser.v2.NonValidatingParser.setFeature(NonValidatingParser.java:1968)
at oracle.xml.parser.v2.SAXParser.setFeature(SAXParser.java:270)
at org.dom4j.io.SAXReader.setFeature(SAXReader.java:218)
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:157)
... 1 more
[/quote]

我试了是可以哦，没有报错，你用的是什么版本？[/quote]


我访问这些地址都是404的，http://apache.org/xml/features/disallow-doctype-decl 你能访问嘛？[/quote]

不能访问不影响使用的。从你报错的日志来看，使用了oracle的xml解析，可以把这个jar包剔除，只使用dom4j即可。
PYJJ 2018-07-06
  • 打赏
  • 举报
 回复
引用 2 楼 lzy_lizhiyang 的回复:
SAXReader reader = new SAXReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

报错啊
Exception in thread "main" java.lang.RuntimeException: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:166)
at com.web.wechat.plugins.PayUtil.main(PayUtil.java:305)
Caused by: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at oracle.xml.parser.v2.NonValidatingParser.setFeature(NonValidatingParser.java:1968)
at oracle.xml.parser.v2.SAXParser.setFeature(SAXParser.java:270)
at org.dom4j.io.SAXReader.setFeature(SAXReader.java:218)
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:157)
... 1 more
PYJJ 2018-07-06
  • 打赏
  • 举报
 回复
引用 3 楼 networkit 的回复:
我们直接用了dom4j自带的DocumentHelper，封闭了SAXReader里面，设置不了
估计要自己封闭一层了
我就是头大在这里
PYJJ 2018-07-06
  • 打赏
  • 举报
 回复
verejava 2018-07-06
  • 打赏
  • 举报
 回复
Java XML解析 之 读取,添加,删除,修改

http://www.verejava.com/?id=16995144631335
networkit 2018-07-06
  • 打赏
  • 举报
 回复
我们直接用了dom4j自带的DocumentHelper，封闭了SAXReader里面，设置不了
估计要自己封闭一层了
在远行的路上 2018-07-06
  • 打赏
  • 举报
 回复
SAXReader reader = new SAXReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
networkit 2018-07-06
  • 打赏
  • 举报
 回复
帮顶，也正在研究这个问题，有结果告诉你，楼主有结果公布一下
我这边除了dom4j，还有个org.nuxeo.common.xmap.XMap的
networkit 2018-07-06
  • 打赏
  • 举报
 回复
引用 7 楼 chengdao1204 的回复:
[quote=引用 2 楼 lzy_lizhiyang 的回复:]
SAXReader reader = new SAXReader();
reader.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

报错啊
Exception in thread "main" java.lang.RuntimeException: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:166)
at com.web.wechat.plugins.PayUtil.main(PayUtil.java:305)
Caused by: org.xml.sax.SAXNotRecognizedException: SAX feature 'http://apache.org/xml/features/disallow-doctype-decl' not recognized.
at oracle.xml.parser.v2.NonValidatingParser.setFeature(NonValidatingParser.java:1968)
at oracle.xml.parser.v2.SAXParser.setFeature(SAXParser.java:270)
at org.dom4j.io.SAXReader.setFeature(SAXReader.java:218)
at com.web.wechat.plugins.PayUtil.doXMLParse(PayUtil.java:157)
... 1 more
[/quote]

我试了是可以哦，没有报错，你用的是什么版本？
微信支付xxe漏洞php,微信支付流程及其XXE漏洞
0x00 概述7月4日，网上爆出微信支付sdk存在xxe漏洞，原因是商户用来获取微信支付结果的notify_url接口可以接受XML数据，而且未禁用外部实体，利用该漏洞可以读取支付服务器文件，甚至可能获取商户key实现0元支付。...
微信支付XXE漏洞
 近日，微信发来警告通知，告知平台微信支付可能存在XXE(外部实体注入漏洞)，笔者根据微信官方技术文档及时修复了该漏洞，分享出来希望能够对大伙有所帮助 2.原因分析  所谓的外部实体注入漏洞，主要是在xml转...
微信支付SDK XXE漏洞 验证复现
今天公司收到漏洞预警，微信支付SDK存在XXE漏洞，下载到本地验证了一下 漏洞信息来源 http://seclists.org/fulldisclosure/2018/Jul/3 https://xz.aliyun.com/t/2426 漏洞描述 微信支持提供了一个接口，...
java 安全 支付_微信支付Java SDK XXE漏洞实战浅析
微信支付SDK JAVA版今天曝出了XXE漏洞，主要原因是在使用DOM处理回传的XML格式的支付结果通知时，未禁用外部实体、参数实体、内联DTD等，导致存在XXE漏洞。0x01 原理分析作者原文分析提到在看微信支付JAVA SDK的说明...
关于dom4j的微信XXE实体注入错误，使用DocumentHelper进行解析的漏洞修补
由于自己的后台采取的dom4j的包，而且当时业务也只是对微信传入的xml进行解析处理，所以就直接使用DocumentHelper的parseText的方式进行解析，而没有使用SAXReader的方式进行，在网上搜罗了很多资料，发现处理方式都...
Java SE

62,614

社区成员

307,326

社区内容

发帖
与我相关
我的任务
社区描述
Java 2 Standard Edition
社区管理员
  • Java SE
加入社区
  • 近7日
  • 近30日
  • 至今

加载中

查看更多榜单
社区公告
暂无公告

试试用AI创作助手写篇文章吧

+ 用AI写文章