外部实体在 simplexml 中不起作用

Question

我在 PHP 5 中使用 SimpleXML 解析 XML，但外部实体不起作用。XML 解析，但实体只是空白。底层库是 libxml2。

这是代码：

libxml_disable_entity_loader(false);
simplexml_load_file($target_file);

它按预期解析 XML，但不解析外部实体并且似乎忽略它们。

Answer 1

这是预期的行为，因为您需要在加载文档时告知以展开（并因此删除）这些实体：

libxml_disable_entity_loader(false);
simplexml_load_file($target_file, 'SimpleXMLElement', LIBXML_NOENT);
                                                      ############

该常数在 的手册页libxml_disable_entity_loader上也有交叉链接。

该函数本身仅启用或禁用默认实体加载器。此外，需要通过基于 libxml2 的选项标志告诉解析器，这些实体应该被替换。只有这样，默认加载程序（或者如果您将其设置为其他加载程序）才会启动。

在线演示：

<?php
/**
 * @link /sf/answers/2090493541/
 */

$buffer = <<<XML
<?xml version="1.0"?>
 <!DOCTYPE foo [  
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "data://text/plain,test" >]><foo>&xxe;</foo>
XML;

libxml_disable_entity_loader(false);

$xml = simplexml_load_string($buffer);
$xml->asXML('php://output');

$xml = simplexml_load_string($buffer, 'SimpleXMLElement', LIBXML_NOENT);
$xml->asXML('php://output');

5.2.11 - 5.6.8、php7@20140507 - 20150401、hhvm-3.5.0 - 3.6.1 的输出

<?xml version="1.0"?>
<!DOCTYPE foo [
<!ELEMENT foo ANY>
<!ENTITY xxe SYSTEM "data://text/plain,test">
]>
<foo>&xxe;</foo>
<?xml version="1.0"?>
<!DOCTYPE foo [
<!ELEMENT foo ANY>
<!ENTITY xxe SYSTEM "data://text/plain,test">
]>
<foo>test</foo>

XML 基于XML 外部实体 (XXE) 处理 (OWASP Wiki)中概述的漏洞利用示例，并针对有关您的问题的 PHP 演示进行了修改。

比 PHP 版本更重要的是系统上的 libxml 版本和 PHP 中的绑定。只是说万一 3v4l.org 演示代码给人留下的印象是它在所有 PHP 版本中始终表现相同 - 但事实并非如此。

相关问答

• 对整个 PHP 版本的 XXE 漏洞的澄清（2014 年 6 月）
• 在允许 DTD 加载之前检查是否存在恶意 XML？（2014 年 7 月）