| 关于XML解析存在的安全问题指引 |
|
微信支付商户，最近暴露的XML外部实体注入漏洞(XML External Entity Injection，简称
XXE)，该安全问题是由XML组件默认没有禁用外部实体引用导致，非微信支付系统存在漏洞。  XXE漏洞可能带来的危害：可读取任意文件；执行系统命令；探测内网端口；攻击内网网站 场景1：支付成功通知：notify_url参数值对应的URL； 场景2：退款成功通知：notify_url参数值对应的URL； 场景3：委托代扣签约、解约、扣款通知； 场景4：车主解约通知； 场景5：扫码支付模式一回调：在商户平台（pay.weixin.qq.com）-->产品中心-->开发配置-->支付配置-->扫码支付-->支付回调链接； 注：APP支付的用户端SDK不受影响，但APP支付成功回调通知里面要检查。 举例：需检查统一下单中传的notify_url参数值对应的URL，是否具有XXE漏洞 <xml> 如果漏洞被外界攻击，可能出现资金损失，所以请贵司重视，必须修复漏洞。 检测XXE漏洞方法： 使用贵司商户号登录商户平台（pay.weixin.qq.com），进入【产品中心】-->【安全医生】，开通后即可进行安全检测。 1.如果您的后台系统使用了官方SDK，请更新SDK到最新版本 SDK的链接:https://pay.weixin.qq.com/wiki/doc/api/jsapi.php?chapter=11_1 2.如果您是有系统提供商，请联系提供商进行核查和升级修复； 3.如果您是自研系统，请联系技术部门按以下指引核查和修复； 4.如果您的收款系统已不再使用，请将回调URL的服务删除； 5.采用主动查单，不再使用回调。 因XXE属于高危漏洞，如不贵司一直未修复，将被停部分功能权限或停交易权限 请见：XXE修复相关的Q&A XXE漏洞需要您在回调处理代码里面解析XML之前，加入禁用实体解析的代码，不同语言设置的内容不同，下面提供了几种主流开发语言的设置指引(您可以根据关键字找到xml解析组件采取对应方法升级)： 【PHP】 解析XML代码前加入： libxml_disable_entity_loader(true); //关键代码 $xml = simplexml_load_string($xmlContent); ......【JAVA】 import javax.xml.parsers.DocumentBuilderFactory;
import javax.xml.parsers.ParserConfigurationException; // catching unsupported features
DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
String FEATURE = null;
try {
// This is the PRIMARY defense. If DTDs (doctypes) are disallowed, almost all XML entity attacks are prevented
// Xerces 2 only - http://xerces.apache.org/xerces2-j/features.html#disallow-doctype-decl
FEATURE = "http://apache.org/xml/features/disallow-doctype-decl";
dbf.setFeature(FEATURE, true);
// If you can't completely disable DTDs, then at least do the following:
// Xerces 1 - http://xerces.apache.org/xerces-j/features.html#external-general-entities
// Xerces 2 - http://xerces.apache.org/xerces2-j/features.html#external-general-entities
// JDK7+ - http://xml.org/sax/features/external-general-entities
FEATURE = "http://xml.org/sax/features/external-general-entities";
dbf.setFeature(FEATURE, false);
// Xerces 1 - http://xerces.apache.org/xerces-j/features.html#external-parameter-entities
// Xerces 2 - http://xerces.apache.org/xerces2-j/features.html#external-parameter-entities
// JDK7+ - http://xml.org/sax/features/external-parameter-entities
FEATURE = "http://xml.org/sax/features/external-parameter-entities";
dbf.setFeature(FEATURE, false);
// Disable external DTDs as well
FEATURE = "http://apache.org/xml/features/nonvalidating/load-external-dtd";
dbf.setFeature(FEATURE, false);
// and these as well, per Timothy Morgan's 2014 paper: "XML Schema, DTD, and Entity Attacks"
dbf.setXIncludeAware(false);
dbf.setExpandEntityReferences(false);
// And, per Timothy Morgan: "If for some reason support for inline DOCTYPEs are a requirement, then
// ensure the entity settings are disabled (as shown above) and beware that SSRF attacks
// (http://cwe.mitre.org/data/definitions/918.html) and denial
// of service attacks (such as billion laughs or decompression bombs via "jar:") are a risk."
// remaining parser logic
} catch (ParserConfigurationException e) {
// This should catch a failed setFeature feature
logger.info("ParserConfigurationException was thrown. The feature '" +
FEATURE + "' is probably not supported by your XML processor.");
}
catch (SAXException e) {
// On Apache, this should be thrown when disallowing DOCTYPE
logger.warning("A DOCTYPE was passed into the XML document");
}
catch (IOException e) {
// XXE that points to a file that doesn't exist
logger.error("IOException occurred, XXE may still possible: " + e.getMessage());
}
DocumentBuilder safebuilder = dbf.newDocumentBuilder();【.Net】 XmlDocument doc= new XmlDocument(); doc.XmlResolver = null;//关键代码 ......【ASP】 Set xmldom = Server.CreateObject("MSXML2.DOMDocument")
xmldom.resolveExternals = false '关键代码
......【Python】 from lxml import etree xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False)) ......【c/c++(常用库为libxml2 libxerces-c)】 【libxml2】: 确保关闭配置选项：XML_PARSE_NOENT 和 XML_PARSE_DTDLOAD 2.9版本以上已修复XXE 【Coldfusion/lucee和node.js】 请更新到库的最新版本 【libxerces-c】： 如果用的是XercesDOMParser: XercesDOMParser *parser = new XercesDOMParser; parser->setCreateEntityReferenceNodes(false);如果是用SAXParser: SAXParser* parser = new SAXParser; parser->setDisableDefaultEntityResolution(true);如果是用SAX2XMLReader: SAX2XMLReader* reader = XMLReaderFactory::createXMLReader(); parser->setFeature(XMLUni::fgXercesDisableDefaultEntityResolution, true);附录：更多开源库/语言版本的修复建议可参考： https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet#C.2FC.2B.2B |
