一、XXE，即XML External Entity，XML外部实体。ENTITY 实体，在一个甚至多个XML文档中频繁使用某一条数据，我们可以预先定义一个这条数据的“别名”，即一个ENTITY，然后在这些文档中需要该数据的地方调用它。XML定义了两种类型的ENTITY，一种在XML文档中使用，另一种作为参数在DTD文件中使用。ENTITY的定义语法：

]>

定义好的ENTITY在文档中通过“&实体名;”来使用。举例：

     ]>
     
      
       
        Ajax
       
       
        $5.95
       
       
        Foundations of Ajax.
       
       
        &publisher;
          这里的&publisher;会被“ABC company”替换
      
      
       
        Ajax Patterns
       
       
        $7.95
       
       
        Introduction of Ajax Patterns.
       
       
        &publisher;
         这里的&publisher;会被“ABC company”替换
      
     

 

在 XML 中有 5 个预定义的实体引用：

&lt;	<	小于
&gt;	>	大于
&amp;	&	和号
&apos;	'	省略号
&quot;	"	引号

注释：严格地讲，在 XML 中仅有字符 "<"和"&" 是非法的。省略号、引号和大于号是合法的，但是把它们替换为实体引用是个好的习惯。

 　　二、有些XML文档包含system标识符定义的“实体”，这些文档会在DOCTYPE头部标签中呈现。这些定义的’实体’能够访问本地或者远程的内容。比如，下面的XML文档样例就包含了XML ‘实体’。

     ]>
     
      &entityex;
     

在上面的代码中， XML外部实体 ‘entityex’ 被赋予的值为：file://etc/passwd。在解析XML文档的过程中，实体’entityex’的值会被替换为URI(file://etc/passwd)内容值（也就是passwd文件的内容）。 关键字’SYSTEM’会告诉XML解析器，’entityex’实体的值将从其后的URI中读取，并把读取的内容替换entityex出现的地方。

　　假如 SYSTEM 后面的内容可以被用户控制，那么用户就可以随意替换为其他内容，从而读取服务器本地文件（file:///etc/passwd)或者远程文件（http://www.baidu.com/abc.txt）

　　三、Billion laughs attack，xml解析的时候，<lolz></lolz>中间将是一个十亿级别大小的参数，将会消耗掉系统30亿字节的内存。

      
      
      
      
      
      
      
      
      
      
     ]>
     
      &lol9;
     

　　四、防范方法：禁止xml解析用户输入的不可信数据。

参考：

1、http://www.freebuf.com/articles/web/126788.html

2、https://en.wikipedia.org/wiki/Billion_laughs_attack