[發明專利]一種主動檢查XXE漏洞的方法

在審

• 申請號: 202011395766.6
• 申請日: 2020-12-03
• 公開（公告）號: CN112468505A
• 公開（公告）日: 2021-03-09
• 發明（設計）人: 王孝余;劉生;李丹丹;尚方;王瑩瑩;林揚;宋杭選;宋宜雷;王義春
• 申請（專利權）人: 國網黑龍江省電力有限公司電力科學研究院;國家電網有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;G06F16/951
• 代理公司: 哈爾濱市松花江專利商標事務所 23109
• 代理人: 劉強

1.一種主動檢查XXE漏洞的方法，其特征在于包括以下步驟：

步驟一：獲取瀏覽器的HTTP數據包；

步驟二：判斷HTTP數據包中是否含有XML標簽的網絡流量，若HTTP數據包中不含有XML標簽的網絡流量，則結束，若HTTP數據包中含有XML標簽的網絡流量，則執行步驟三；

步驟三：替換含有XML標簽的網絡流量中的內容，并構建外部實體注入；

步驟四：通過判定實體注入的內容中是否存在來自待檢測目標主動發起的外部http請求判定是否含有XXE漏洞。

2.根據權利要求1所述的一種主動檢查XXE漏洞的方法，其特征在于所述步驟一中瀏覽器的HTTP數據包通過瀏覽器爬蟲獲取。

3.根據權利要求2所述的一種主動檢查XXE漏洞的方法，其特征在于所述步驟一的具體步驟為：輸入待檢測的目標，然后驅動瀏覽器模擬點擊所有可能的超鏈接或觸發其他瀏覽器的點擊事件，獲取客戶端與服務端交互的所有HTTP數據包。

4.根據權利要求3所述的一種主動檢查XXE漏洞的方法，其特征在于所述步驟三中替換含有XML標簽的網絡流量中的內容，并構建外部實體注入通過下列方式中任一方式進行：

方式一：直接DTD外部實體聲明；

方式二：通過DTD文檔引入外部DTD文檔，再引入外部實體聲明；

方式三：通過DTD外部實體聲明引入外部實體聲明。

5.根據權利要求4所述的一種主動檢查XXE漏洞的方法，其特征在于所述外部實體注入的內容為本地服務器的HTTPLOG鏈接。

6.根據權利要求5所述的一種主動檢查XXE漏洞的方法，其特征在于所述步驟四的具體步驟為：首先在服務器端設置監聽，通過監控HTTPLOG的API變化判斷是否有新的HTTPLOG，并判定HTTPLOG中是否存在來自待檢測目標主動發起的外部HTTP請求，若HTTPLOG中存在來自檢測目標主動發起的外部HTTP請求，則認為目標服務器引用了實體注入后的內容，判定為有XXE漏洞；若HTTPLOG中不存在來自檢測目標主動發起的外部HTTP請求，則認為目標服務器并未引用實體注入后的內容，判定為沒有XXE漏洞。