Python中防御XXE漏洞的全面指南

1. XXE漏洞简介

XXE (XML External Entity)漏洞是一种常见的安全漏洞，当应用程序解析XML输入时，如果未正确配置XML解析器，攻击者可以通过外部实体注入来读取服务器上的任意文件、发起SSRF攻击或导致拒绝服务攻击。

2. lxml库中的XXE漏洞

2.1 不安全的lxml使用方式

以下代码展示了lxml库中不安全的XML解析方式，容易受到XXE攻击：

import lxml.objectify

jioc = {}
ioco = lxml.objectify.parse(filename)  # 存在XXE漏洞
root = ioco.getroot()
jioc['short_description'] = root.short_description.__str__()

另一个例子：

from lxml import etree

tree = etree.parse(filename)  # 存在XXE漏洞
root = tree.getroot()
for i in root.getroottree().getiterator('modelVersion'):
    print(i.text)

2.2 XXE攻击示例

攻击者可以构造恶意的XML文件：

<!DOCTYPE ent [
  <!ENTITY ent SYSTEM "file:///etc/passwd">
]>
<b>&ent;</b>

当使用不安全的解析方式时，会导致服务器文件内容泄露：

a = objectify.fromstring(xml)  # 会读取/etc/passwd文件
print(a)

3. lxml库的XXE防御方案

3.1 使用XMLParser禁用实体解析

最直接的防御方法是创建XMLParser时设置resolve_entities=False：

from lxml import etree

parser = etree.XMLParser(resolve_entities=False)
tree = etree.parse(filename, parser=parser)

3.2 实际应用中的完整解决方案

以下是结合业务逻辑的更完整防御方案：

import lxml.objectify
from lxml import etree

filename = "test.ioc"
ioco = lxml.objectify.parse(filename, etree.XMLParser(resolve_entities=False))
jioc = {
    'rule': '',
    'member': {},
    'description': '',
    'short_description': '',
    'level': ''
}
root = {}

for elt in ioco.getroot():
    root[etree.QName(elt.tag).localname] = elt.text

jioc['short_description'] = root['short_description']
print(jioc)

definition = root['definition']

3.3 使用Python标准库xml.parsers.expat的解决方案

对于需要更精细控制的情况，可以使用Python自带的expat解析器：

import sys
import os
from xml.parsers import expat

class Element(object):
    '''分析XML元素'''
    def __init__(self, name, attributes):
        self.name = name
        self.attributes = attributes
        self.cdata = ''
        self.children = []
    
    def addChild(self, element):
        self.children.append(element)
    
    def getAttribute(self, key):
        return self.attributes.get(key)
    
    def getData(self):
        return self.cdata
    
    def getElements(self, name=''):
        if name:
            return [c for c in self.children if c.name == name]
        else:
            return list(self.children)

class Xml2Obj(object):
    '''将XML转换为对象'''
    def __init__(self):
        self.root = None
        self.nodeStack = []
    
    def StartElement(self, name, attributes):
        'Expat开始元素事件处理'
        element = Element(name.encode(), attributes)
        if self.nodeStack:
            parent = self.nodeStack[-1]
            parent.addChild(element)
        else:
            self.root = element
        self.nodeStack.append(element)
    
    def EndElement(self, name):
        'Expat结束元素事件处理'
        self.nodeStack.pop()
    
    def CharacterData(self, data):
        'Expat字符数据处理'
        if data.strip():
            data = data.encode()
            element = self.nodeStack[-1]
            element.cdata += data
    
    def Parse(self, filename):
        Parser = expat.ParserCreate()
        Parser.StartElementHandler = self.StartElement
        Parser.EndElementHandler = self.EndElement
        Parser.CharacterDataHandler = self.CharacterData
        ParserStatus = Parser.Parse(open(filename).read(), 1)
        return self.root

if __name__ == '__main__':
    filename = 'test_xml.xml'
    parser = Xml2Obj()
    root_element = parser.Parse(filename)
    print(root_element.getElements()[0].cdata)
    
    ch = root_element.getElements('properties')[0].children
    print(ch[0].cdata)
    
    ch = root_element.getElements('dependencies')[0].children
    dependency_ch = ch[0].children
    print(dependency_ch[0].cdata)

4. 防御措施总结

始终禁用外部实体解析：在使用lxml库时，必须设置resolve_entities=False
使用安全的解析器：考虑使用Python内置的expat解析器，它默认不处理外部实体
输入验证：对XML输入进行严格验证
最小权限原则：确保应用程序运行在最小权限环境下
使用白名单：只允许已知安全的XML结构和元素

5. 注意事项

修改为安全配置后，可能会影响原有依赖外部实体的功能，需要进行充分测试
对于复杂的XML处理需求，建议使用专门的XML处理库而非字符串操作
定期更新依赖库以获取最新的安全修复

通过以上措施，可以有效防御XXE攻击，保护应用程序安全。