1. 漏洞描述
   目標存在webservice XML實體注入漏洞。XML是可擴充套件標記語言，標準通用標記語言的子集，是一種用於標記電子檔案使其具有結構性的標記語言。XML文件結構包括XML宣告、DTD文件型別定義（可選）、文件元素。當允許引用外部實體時，通過構造惡意內容，可導致讀取任意檔案、執行系統命令、探測內網埠、攻擊內網網站等危害。
2. 解決方案
   (1) 關閉XML解解析函式的外部實體。
   在生成xml的程式碼中加入：

        DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
        dbf.setExpandEntityReferences
 
(false);

如果使用的是DOM4J的Document生成的xml請改成w3c的Document生成。程式碼如下：

        DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
        factory.setExpandEntityReferences(false);
        // 建立DocumentBuilder
        DocumentBuilder builder = factory.newDocumentBuilder();
        // 建立Document
        Document document = builder.newDocument
 
();
        Element rss = document.createElement("rss");
        rss.setAttribute("version", "2.0");

(2) 過濾使用者輸入的非法字元，如“<>” “%” “+”等。
在專案filter目錄下加入XssFilter.java和XssHttpServletRequestWrapper.java
同時在web.xml中加入

        <filter>
            <filter-name>XssFilter</filter-name
 
>
            <filter-class>com.xxx.xxx.web.filter.XssFilter</filter-class>
        </filter>
        <filter-mapping>
            <filter-name>XssFilter</filter-name>
            <url-pattern>/*</url-pattern>
            <dispatcher>REQUEST</dispatcher>
        </filter-mapping>