XML 处理模块 — Python 文档
来自菜鸟教程
Python/docs/3.8/library/xml
XML 处理模块
源代码: :source:`Lib/xml/`
Python 处理 XML 的接口被分组在 xml
包中。
需要注意的是,xml 包中的模块要求至少有一个符合 SAX 的 XML 解析器可用。 Expat 解析器包含在 Python 中,因此 xml.parsers.expat 模块将始终可用。
xml.dom 和 xml.sax 包的文档是 DOM 和 SAX 接口的 Python 绑定定义。
XML 处理子模块是:
- xml.etree.ElementTree:ElementTree API,一个简单轻量级的 XML 处理器
- xml.dom:DOM API 定义
- xml.dom.minidom:一个最小的DOM实现
- xml.dom.pulldom:支持构建部分DOM树
- xml.sax:SAX2 基类和便利函数
- xml.parsers.expat:Expat 解析器绑定
XML 漏洞
XML 处理模块对于恶意构造的数据并不安全。 攻击者可以滥用 XML 特性来执行拒绝服务攻击、访问本地文件、生成与其他机器的网络连接或绕过防火墙。
下表概述了已知的攻击以及各种模块是否容易受到攻击。
种类 | 萨克斯 | 树 | 迷你世界 | 拉力 | xmlrpc |
---|---|---|---|---|---|
十亿笑声 | 易受攻击的 (1) | 易受攻击的 (1) | 易受攻击的 (1) | 易受攻击的 (1) | 易受攻击的 (1) |
二次爆发 | 易受攻击的 (1) | 易受攻击的 (1) | 易受攻击的 (1) | 易受攻击的 (1) | 易受攻击的 (1) |
外部实体扩展 | 保险箱 (5) | 保险箱 (2) | 保险箱 (3) | 保险箱 (5) | 保险箱 (4) |
DTD检索 | 保险箱 (5) | 安全的 | 安全的 | 保险箱 (5) | 安全的 |
减压炸弹 | 安全的 | 安全的 | 安全的 | 安全的 | 易受伤害的 |
- Expat 2.4.1 及更新版本不易受到“十亿笑声”和“二次爆发”漏洞的影响。 由于可能依赖系统提供的库,项目仍被列为易受攻击的项目。 勾选
pyexpat.EXPAT_VERSION
。 - xml.etree.ElementTree 不会扩展外部实体并在实体出现时引发
ParserError
。 - xml.dom.minidom 不扩展外部实体,只是逐字返回未扩展的实体。
xmlrpclib
不扩展外部实体并省略它们。- 自 Python 3.7.1 起,默认情况下不再处理外部通用实体。
- 十亿笑/指数实体扩张
- Billion Laughs 攻击(也称为指数实体扩展)使用多层嵌套实体。 每个实体多次引用另一个实体,最终的实体定义包含一个小字符串。 指数扩展会产生几 GB 的文本并消耗大量内存和 CPU 时间。
- 二次膨胀实体扩展
- 二次爆发攻击类似于 亿笑 攻击; 它也滥用实体扩展。 它不是嵌套实体,而是一遍又一遍地重复一个包含数千个字符的大型实体。 这种攻击不如指数情况有效,但它避免触发禁止深度嵌套实体的解析器对策。
- 外部实体扩展
- 实体声明可以包含的不仅仅是用于替换的文本。 它们还可以指向外部资源或本地文件。 XML 解析器访问资源并将内容嵌入到 XML 文档中。
- DTD检索
- 一些 XML 库,如 Python 的 xml.dom.pulldom 从远程或本地位置检索文档类型定义。 该功能与外部实体扩展问题具有类似的含义。
- 减压炸弹
- 解压炸弹(又名 ZIP 炸弹)适用于所有可以解析压缩 XML 流的 XML 库,例如 gzipped HTTP 流或 LZMA 压缩文件。 对于攻击者来说,它可以将传输的数据量减少三个或更多。
PyPI 上的 defusedxml 文档包含有关所有已知攻击向量的更多信息,包括示例和参考。
defusedxml 包
defusedxml 是一个纯 Python 包,它修改了所有 stdlib XML 解析器的子类,以防止任何潜在的恶意操作。 对于解析不受信任的 XML 数据的任何服务器代码,建议使用此包。 该软件包还附带示例漏洞利用和有关更多 XML 漏洞利用(例如 XPath 注入)的扩展文档。