.net - XML 解析器是否可以免受 .NET Core 中的 XML 外部实体 (XML) 注入(inject)的影响？

Question

我正在尝试确定 .NET Core 应用程序是否容易受到 XML 外部实体 (XXE) 注入(inject)攻击。我读过this OWASP XXE Prevention Cheat Sheet例如，它告诉我，默认情况下，XmlDocument 在 4.5.2 之前的 .NET Framework 版本中是不安全的。我找不到 .NET Core 版本的任何类似文档。我看到 .NET Core 是在 .NET Framework 4.6.2 发布后几个月内发布的。因此，我是否可以假设这些 XML 解析器在 .NET Core 中默认是安全的？

Answer 1

我测试的 XML 解析器在 .NET Core 2.1 中具有与在 .NET Framework 4.5.2 中相同的特征(至少在 XXE 注入(inject)方面)。为了回应我在问题中给出的具体示例，默认情况下，XmlDocument 在 .NET Framework 4.5.1 中是不安全的，但在 .NET Framework 4.5.2 和 .NET Core 2.1 中默认情况下都是安全的。

为了让自己相信这一事实，我对 .NET Framework 4.5.1 和 4.5.2 以及 .NET Core 2.1 进行了测试。我的代码和结果可用 on GitHub .