如何修复或防止 - 外部服务交互 (HTTP)答案

【问题标题】：How can I fix or prevent - External service interaction (HTTP)如何修复或防止 - 外部服务交互 (HTTP)
【发布时间】：2020-12-15 12:00:18
【问题描述】：

我收到了这个 burp 漏洞报告 - 外部服务交互 (HTTP)

XML 被注入到 URL 路径中。我想知道是否有人知道如何防止这种情况。我正在使用带有 WebForms C# 的 Visual Studio 在 Web 应用程序中工作。

我在想也许可以通过 IIS 或 web.config 文件阻止它，但我不确定。

问题详情可以诱导应用程序对任意域执行服务器端 HTTP 请求。载荷在 URL 路径文件名中提交。此有效负载包含一些 XML，其 XInclude 表达式引用外部域上的 URL。

应用程序向指定域执行HTTP请求，表明XML解析器处理了注入的XInclude定义。

【问题讨论】：

一定是xml命名空间引起的：xmlns
你可以试试这个代码：XmlDocument xmlDoc = new XmlDocument(); xmlDoc.XmlResolver = null; xmlDoc.LoadXml(OurOutputXMLString);stackoverflow.com/questions/14230988/…

【解决方案1】：

外部服务交互或换句话说 SSRF 意味着 Web 服务器代表用户发出 GET 请求。在您的情况下，应用程序代表它向用户提供的 URL 发出 GET 请求，即。根据您的 Web 应用程序功能，您可能会也可能不会阻止外部 URL。您可以按照以下任何步骤来防止这种情况发生，

【讨论】：