java - 防止jboss 4.2上的XXE攻击

Question

是否可以以某种方式防止对部署在 jboss 4.2 上的 Web 服务进行 xxe 攻击？ WS是通过注解来定义的。我找不到任何配置来禁用支持外部实体和 dtd。

这篇文章 ( Prevent XXE Attack with JAXB ) 是一个在 servlet 中解析肥皂的解决方案，但我需要一些用于带注释的 WS 的东西。

Answer 1

经过长时间的调试 jboss 代码，我找到了针对 jboss 4.2.2 的 XXE 攻击的修复

在 DOMUtils.class(位于 jbossws-common.jar 中)中，我在 DocumentBuilderFactory 实例上添加了额外的功能:

factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);

它解决了问题。