Fortify XML Inject Entity Injection - PullRequest
Новая
       90

Fortify XML Inject Entity Injection

0 голосов
/ 21 января 2019

Я решил внедрить внешний XML-объект с помощью класса DocumentBuilderFactory, используя приведенный ниже код. 

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();

dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
dbf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
dbf.setXIncludeAware(false);
dbf.setExpandEntityReferences(false);

Я хотел бы написать контрольный пример, в котором заданный вход будет обойден этими функциями: (dbf.setFeature ("http://apache.org/xml/features/disallow-doctype-decl", true);) и dbf.setXIncludeAware (false); и dbf.setExpandEntityReferences (ложь);

И тот же вход должен быть заблокирован только dbf.setFeature ("http://xml.org/sax/features/external-general-entities", false);

Мое намерение состоит в том, чтобы заблокировать определенный контент только с помощью dbf.setFeature ("http://xml.org/sax/features/external-general-entities", false), но не с другими.

Пожалуйста, укажите здесь указатели.

...