xml - 在 XML 中使用 CDATA 元素是否容易受到攻击？

Question

在 XML 文档中使用 CDATA 元素是否存在漏洞？如果是这样，如果我们在 XML 文档中使用 CDATA 元素会怎样？

Answer 1

我不知道您所说的“漏洞”是什么意思，但是很多人在使用 CDATA 部分时都会犯一个错误。当一个懒惰的程序员并不真正理解文本转义，并试图避免 & 的正常过程时，就会发生这种情况。 -编码 XML 中的特殊字符。他们认为他们可以逃脱惩罚:

print "<element><![CDATA["+textstring+"]]></element>";

虽然这确实会阻止 <或 & textstring 中的字符被视为标记，它不是无懈可击的，因为文本字符串可能包含 ]]>序列，导致:

<element><![CDATA[ Foo ]]> <bar>I'm an unexpected element!</bar> ]]></element>

这是一个 XML 注入(inject)，它像 HTML 注入(inject)一样可能具有类似 XSS 的安全影响。

因此您仍然需要转义 CDATA 中的一些序列(通常，您会在两个 CDATA 部分之间拆分一个 ]]> 序列)。实际上，使用 CDATA 并不比 & 更容易- 以正常方式编码您的文本内容。所以真的没有理由使用 CDATA 部分。