So verwenden Sie Nginx zum Schutz vor XML-Angriffen durch externe Entitäten (XXE)

Mit der rasanten Entwicklung der Internettechnologie hat die Netzwerksicherheit immer mehr Aufmerksamkeit auf sich gezogen. Ein häufiges Netzwerksicherheitsproblem ist der XML External Entity Attack (XXE). Diese Angriffsmethode ermöglicht es Angreifern, über bösartige XML-Dokumente an vertrauliche Informationen zu gelangen oder Remotecode auszuführen. In diesem Artikel wird erläutert, wie Sie Nginx verwenden, um XXE-Angriffe zu verhindern.

1. Was ist ein XXE-Angriff?

XML-Angriff auf externe Einheiten ist eine Web-Schwachstelle, die ein Angreifer ausnutzen kann, um auf vertrauliche Daten auf dem Server zuzugreifen oder nicht autorisierte Vorgänge durchzuführen. Dieser Angriff wird dadurch erreicht, dass ein schädliches XML-Dokument erstellt und dann an einen offenen XML-Parser übergeben wird. Ein Angreifer kann Entitäten in einem XML-Dokument definieren und dann externe Dateien in den Entitäten referenzieren. Der XML-Parser lädt Daten aus einer externen Datei und fügt sie in das XML-Dokument ein, was zu einem erfolgreichen Angriff führt.

Zum Beispiel könnte ein Angreifer das folgende schädliche XML-Dokument an einen XML-Parser übergeben:

<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///etc/passwd" >]>
<foo>&xxe;</foo>

Im obigen XML-Dokument haben wir eine externe Entität mit dem Namen „xxe“ definiert und im XML-Dokument im Element „foo“ darauf verwiesen . Bei dieser externen Entität handelt es sich tatsächlich um einen Verweis auf die Datei „/etc/passwd“, die ein Angreifer analysieren kann, um an vertrauliche Informationen zu gelangen.

2. Verwenden Sie Nginx, um XXE-Angriffe zu verhindern.

Um XXE-Angriffe wirksam zu verhindern, können wir Nginx verwenden, um alle eingehenden XML-Anfragen zu filtern. Nginx bietet einige leistungsstarke Anweisungen zum Scannen von Anforderungen und zum Filtern nach schädlichen XML-Entitäten. Hier sind einige mögliche Maßnahmen:

1. Externe Entitäten deaktivieren

Externe Entitäten können mithilfe von XML-Deklarationen deaktiviert werden. In Nginx können wir die folgende Direktive verwenden, um dies zu erreichen:

xml_disable_external_entities on;

Diese Direktive deaktiviert das Parsen aller externen Entitäten.

2. Begrenzen Sie die interne Entitätsgröße

Ein Angreifer kann eine große Anzahl interner Entitäten in einem XML-Dokument definieren und so Serverressourcen verbrauchen. Daher können wir die Größe interner Entitäten mithilfe der folgenden Direktive begrenzen:

xml_max_entity_size size;

wobei „size“ auf die Größe in Bytes festgelegt werden kann. Wenn die Größe einer internen Entität diesen Grenzwert überschreitet, wird die Anfrage abgelehnt.

3. DTD-Parsing verboten

Ein Angreifer kann die Struktur eines XML-Dokuments über eine DTD (Document Type Definition) definieren. Zum Schutz vor XXE-Angriffen können wir die DTD-Analyse mit der folgenden Anweisung deaktivieren:

xml_disallow_doctype yes;

Wenn der Parser versucht, eine DTD zu laden, wird die Anfrage abgelehnt.

4. XML-Dateigröße begrenzen

Mit dem folgenden Befehl können Sie die Größe von XML-Dateien begrenzen:

client_max_body_size size;

Wobei „Größe“ auf die Größe in Bytes eingestellt werden kann. Wenn die Größe des Anfragetextes diesen Grenzwert überschreitet, wird die Anfrage abgelehnt.

Zusätzlich zu den oben genannten Maßnahmen können wir auch die „if“-Beurteilungsaussage von Nginx verwenden, um zu prüfen, ob die Anfrage eine böswillige Entität enthält. Beispielsweise kann die folgende Konfiguration hinzugefügt werden, um nach der Entität „xxe“ in der Anfrage zu suchen:

if ($request_body ~ "xxe") {
    return 403;
}

Die obige Konfiguration blockiert jede Anfrage, die die Entität „xxe“ enthält.

3. Zusammenfassung

XML-Angriffe durch externe Entitäten sind ein häufiges Netzwerksicherheitsproblem. Um uns vor diesem Angriff zu schützen, können wir Nginx verwenden, um alle eingehenden XML-Anfragen zu überprüfen und sie auf bösartige Entitäten zu filtern. Die oben genannten Maßnahmen können uns helfen, Webanwendungen effektiv vor XXE-Angriffen zu schützen.

Das obige ist der detaillierte Inhalt vonSo verwenden Sie Nginx zum Schutz vor XML-Angriffen durch externe Entitäten (XXE). Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!