XML外部实体（XXE）攻击失败

Question

请给我一个提示，为什么我的代码不容易受到XXE的攻击。

代码：

$text = $_POST['textarea'];
$doc= new DOMDocument();
$doc->loadXML($text);
echo $doc->textContent;

测试用例1：

<justsomexmltag>Hello world</justsomexmltag>

结果1：

Hello world

到现在为止，一直都还不错。但是，当我尝试注入XML代码以检索本地文件的内容时：

<?xml version="1.0"?>
    <!DOCTYPE log [
        <!ENTITY ent SYSTEM "test.txt">
    ]>
<log><text>&ent;</text></log>

然后什么都不打印。“test.txt”在文件结构中与我执行攻击的php文件处于同一级别。我已经尝试过了

<!ENTITY ent SYSTEM file:///"test.txt">

以及

<!ENTITY ent SYSTEM file:///full path to the file>

但无济于事。

test.txt：

This is just a test.

已尝试：

<test>This is just a test.</test>

没有结果。

有什么提示吗？

反映保罗·克罗维拉，这里有一个编辑：

CP-ing您的代码导致：

DOMDocument::loadXML（）： I/O警告：加载外部实体文件失败：//文件名的完整路径

DOMDocument：：loadXML（）：无法处理实体中的实体ent

DOMDocument::loadXML（）： Entity'ent'未在Entity中定义

Answer 1

默认情况下，libxml不会精确加载外部实体以避免此问题。要说服它这样做，您需要在加载之前将替换实体或validateOnParse设置为true。例如：

$xml = <<<'XML'
<?xml version="1.0"?>
<!DOCTYPE log [
    <!ENTITY ent SYSTEM "test.txt">
]>
<log><text>&ent;</text></log>
XML;

$dom = new DOMDocument();
$dom->substituteEntities = true;
$dom->loadXML($xml);

echo $dom->textContent;

输出：

This is just a test.