Xmlrpc容易受到xxe攻击吗？

Question

可能这超出了主题，但这对我来说很重要，所以我现在问你们，

我有一个网站包含 xmlrpc.php 文件，那么 它是否容易受到 xxe 攻击，就像任何人都可以使用 system.listMethods 提取所有方法一样。希望你明白我在说什么。攻击者如何利用它？

谢谢你。

Answer 1

IDK 关于 XXE，但您应该更喜欢

REST-API

而不是 XMLRPC，因为 DDoS 放大和暴力破解。否则，如果您确实需要它，请将其限制为您希望允许使用 XMLRPC 的受信任 IP 地址，以便攻击者无法滥用它。

Answer 2

在默认设置下，Java 和 Python 中的 XMLRPC 不易受到 XXE 攻击。您可以在这里查看； http://www.securiteam.com/securitynews/6D0100A5PU.html