如何修复或阻止-外部服务交互HTTP

时间：2022-08-14分类：编程问答

如何解决如何修复或阻止-外部服务交互HTTP

我收到了这个burp漏洞报告-外部服务交互（HTTP）

XML注入URL路径中。我想知道是否有人知道如何防止这种情况。我正在使用Visual Studio和WebForms C＃在Web应用程序中工作。

我在想，也许可以从IIS或web.config文件中阻止它，但我不确定。

问题详细信息可以诱使应用程序对任意域执行服务器端HTTP请求。有效负载是在URL路径文件名中提交的。此有效负载包含一些XML，该XML具有XInclude表达式，该表达式引用外部域上的URL。

该应用程序向指定域执行了HTTP请求，指示XML解析器处理了注入的XInclude定义。

GET /EmployeeDetails/%3cuhz%20xmlns%3axi%3d%22http%3a//www.w3.org/2001/XInclude%22%3e%3cxi%3ainclude%20href%3d%22http%3a//o6vsilg7waiopz0impyw3z2cn3br5。 burpcollaborator.net/foo%22/%3e%3c/uhz%3e?RequestId=428 HTTP / 1.1 接受编码：gzip，放气接受： / 接受语言：zh 用户代理：Mozilla / 5.0（Windows NT 10.0; Win64; x64）AppleWebKit / 537.36（KHTML，如Gecko）Chrome / 83.0.4103.116 Safari / 537.36 连接：关闭

解决方法

外部服务交互，或者换句话说，SSRF意味着Web服务器代表用户发出 GET 请求。在您的情况下，该应用程序代表其向用户提供的URL发出 GET 请求，即。根据您的Web应用程序功能，您是否可以阻止外部URL。您可以按照以下任何步骤进行操作，以防止出现这种情况，

阻止列表或白名单域名
阻止/过滤用户提供的URL。
防止C＃代码从用户提供的URL发出GET请求

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容，请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

导入项目后报错问题

依赖报错 idea导入项目后依赖报错，解决方案：https://blog.csdn.net/weixin_42420249/article/details/81191861 依赖版本报错：更换其他版本无法下载依赖可参考：https://blog.csdn.net/weixin_42628809/a

idea不能识别yaml文件

使用mybatis plus常见错误

错误1：代码生成器依赖和mybatis依赖冲突启动项目时报错如下 2021-12-03 13:33:33.927 ERROR 7228 [ main] o.s.b.d.LoggingFailureAnalysisReporter : *************************** APPL

gradle常见问题与错误

错误1：gradle项目控制台输出为乱码 # 解决方案：https://blog.csdn.net/weixin_43501566/article/details/112482302 # 在gradle-wrapper.properties 添加以下内容 org.gradle.jvmargs=-Df

Mybatis Plus传入参数0不起作用

错误还原：在查询的过程中，传入的workType为0时，该条件不起作用 <select id="xxx"> SELECT di.id, di.name, di.work_type, di.updated... <where> <if test=&qu

linux中make编译源码包失败

报错如下，gcc版本太低 ^ server.c:5346:31: 错误：‘struct redisServer’没有名为‘server_cpulist’的成员 redisSetCpuAffinity(server.server_cpulist); ^ server.c: 在函数‘hasActiveC

微服务启动错误：Command line is too long. Shorten command line for

解决方案1 1、改项目中.idea/workspace.xml配置文件，增加dynamic.classpath参数 2、搜索PropertiesComponent，添加如下 <property name="dynamic.classpath" value="tru

vue常见错误

删除根组件app.vue中的默认代码后报错：Module Error (from ./node_modules/eslint-loader/index.js): 解决方案：关闭ESlint代码检测，在项目根目录创建vue.config.js，在文件中添加 module.exports = { lin

spark常见错误

查看spark默认的python版本 [root@master day27]# pyspark /home/software/spark-2.3.4-bin-hadoop2.7/conf/spark-env.sh: line 2: /usr/local/hadoop/bin/hadoop: No s

matplotlib报错：AttributeError: module 'backend_interagg' has no attribute 'FigureCanvas'. Did you mean: 'FigureCanvasAgg'?

使用本地python环境可以成功执行 import pandas as pd import matplotlib.pyplot as plt # 设置字体 plt.rcParams['font.sans-serif'] = ['SimHei'] # 能正确显示负号 p

gitlab登录失败，报错：This challenge page was accidentally cached by an intermediary and is no longer available.

设置时间控制面板

后端开发常见错误

错误1：Request method ‘DELETE‘ not supported 错误还原：controller层有一个接口，访问该接口时报错：Request method ‘DELETE‘ not supported 错误原因：没有接收到前端传入的参数，修改为如下参考错误2：cannot r

docker常见错误

错误1：启动docker镜像时报错：Error response from daemon: driver failed programming external connectivity on endpoint quirky_allen 解决方法：重启docker -> systemctl r

idea常见错误

错误1：private field ‘xxx‘ is never assigned 按Altʾnter快捷键，选择第2项参考：https://blog.csdn.net/shi_hong_fei_hei/article/details/88814070 错误2：启动时报错，不能找到主启动类 #

pip安装依赖失败

报错如下，通过源不能下载，最后警告pip需升级版本 Requirement already satisfied: pip in c:\users\ychen\appdata\local\programs\python\python310\lib\site-packages (22.0.4) Coll

maven常见错误

错误1：maven打包报错错误还原：使用maven打包项目时报错如下 [ERROR] Failed to execute goal org.apache.maven.plugins:maven-resources-plugin:3.2.0:resources (default-resources)

cloud项目中常见错误

错误1：服务调用时报错服务消费者模块assess通过openFeign调用服务提供者模块hires 如下为服务提供者模块hires的控制层接口 @RestController @RequestMapping("/hires") public class FeignControl

springboot常见错误

错误1：运行项目后报如下错误解决方案报错2：Failed to execute goal org.apache.maven.plugins:maven-compiler-plugin:3.8.1:compile (default-compile) on project sb 解决方案：在pom.

springmvc拦截器中使用redisTemplate报空指针异常

参考错误原因过滤器或拦截器在生效时，redisTemplate还没有注入解决方案：在注入容器时就生效 @Component //项目运行时就注入Spring容器 public class RedisBean { @Resource private RedisTemplate<String

vite报错：npm ERR! command C:WINDOWSsystem32cmd.exe /d /s /c C:UsersychenAppDataLocalTempnpx-dde1c848.cmd

使用vite构建项目报错 C:\Users\ychen\work>npm init @vitejs/app @vitejs/create-app is deprecated, use npm init vite instead C:\Users\ychen\AppData\Local\npm-

热门文章

最新文章