什么是XML Bomb (Billion Laughs Attack) 拒绝服务攻击

XML Bomb（Billion Laughs Attack）是利用DTD递归实体展开导致内存爆炸的DoS攻击，通过数百字节XML触发GB级内存分配；防御须禁用DTD、关闭外部实体并限制展开深度。

XML Bomb（又称 Billion Laughs Attack）是一种典型的 XML 拒绝服务（DoS）攻击，核心是用极小的 XML 文本触发解析器指数级内存膨胀，最终耗尽服务器内存导致服务中断。

攻击是怎么发生的

它依赖 XML 的 DTD 实体机制，尤其是递归嵌套的内部实体定义。攻击者在 XML 文档中声明多个层级的实体，每个实体引用前一个，形成链式展开关系。例如：

• &a0; 展开为 10 个 &a1;

• &a1; 展开为 10 个 &a2;
• ……持续到 &a9;，最终生成 10¹⁰（即 100 亿）个字符串

原始 XML 可能仅几百字节，但解析时需在内存中展开为 GB 级文本，造成 OOM 或长时间卡死。

为什么普通解析器会中招

很多 XML 解析器默认启用 DTD 处理，且未限制实体嵌套深度、展开总量或外部实体加载。只要文档语法合法，解析器就会忠实执行全部展开逻辑，不加资源约束。

• MSXML 3.0/4.0、早期 Java SAX/DOM、Python xml.etree 默认行为都存在该风险
• 即使使用较新版本（如 MSXML 6.0），若未显式禁用 DTD，仍可能被利用

关键防御措施

防御重点不是“识别恶意 XML”，而是“从解析器层面切断爆炸条件”：

• 禁用 DTD 处理（最有效）：设置 XmlReaderSettings.DtdProcessing = DtdProcessing.Prohibit 或等效参数
• 关闭外部实体加载：明确设为 XmlResolver = null
• 限制实体展开深度与总数（部分解析器支持，如 .NET 的 MaxCharactersFromEntities）
• 对不可信 XML 输入，强制走白名单预检或改用非通用解析器（如仅解析 JSON 替代方案）

和 XXE 的区别在哪

XML Bomb 是 DoS 类型，目标是让服务不可用；而 XXE（XML External Entity）侧重信息窃取或内网探测，比如读取 /etc/passwd 或发起 SSRF 请求。两者常共存于同一漏洞配置下——只要 DTD 和外部实体未禁用，就既可能被炸，也可能被偷。

# python  # java  # js  # json  # 字节  # 区别  # .net  # 为什么 

相关文章： 免费的流程图制作网站有哪些,2025年教师初级职称申报网上流程？  如何高效完成独享虚拟主机建站？  头像制作网站在线制作软件,dw网页背景图像怎么设置？  建站主机选虚拟主机还是云服务器更好？  家族网站制作贴纸教程视频,用豆子做粘帖画怎么制作？  如何获取上海专业网站定制建站电话？  公司网站制作价格怎么算,公司办个官网需要多少钱？  如何用美橙互联一键搭建多站合一网站？  建站之星如何修改网站生成路径？  百度网页制作网站有哪些,谁能告诉我百度网站是怎么联系？  制作网站的过程怎么写,用凡科建站如何制作自己的网站？  css网站制作参考文献有哪些,易聊怎么注册？  如何挑选优质建站一级代理提升网站排名？  网站视频怎么制作,哪个网站可以免费收看好莱坞经典大片？  如何通过wdcp面板快速创建网站？  网页设计与网站制作内容,怎样注册网站？  香港服务器选型指南：免备案配置与高效建站方案解析  外贸公司网站制作,外贸网站建设一般有哪些步骤？  建站主机选哪种环境更利于SEO优化？  如何通过主机屋免费建站教程十分钟搭建网站？  C++中的Pimpl idiom是什么，有什么好处？（隐藏实现）  开心动漫网站制作软件下载,十分开心动画为何停播？  如何通过虚拟主机快速完成网站搭建？  定制建站哪家更专业可靠？推荐榜单揭晓  如何制作网站标识牌,动态网站如何制作（教程）？  红河网站制作公司,红河事业单位身份证如何上传？  如何在IIS中配置站点IP、端口及主机头？  网站制作服务平台,有什么网站可以发布本地服务信息？  正规网站制作公司有哪些,目前国内哪家网页网站制作设计公司比较专业靠谱？口碑好？  ,制作一个手机app网站要多少钱？  高防网站服务器：DDoS防御与BGP线路的AI智能防护方案  深圳网站制作公司好吗,在深圳找工作哪个网站最好啊？  建站主机是什么？如何选择适合的建站主机？  如何规划企业建站流程的关键步骤？  建站之星ASP如何实现CMS高效搭建与安全管理？  如何用搬瓦工VPS快速搭建个人网站？  较简单的网站制作软件有哪些,手机版网页制作用什么软件？  微信推文制作网站有哪些,怎么做微信推文，急？  浙江网站制作公司有哪些,浙江栢塑信息技术有限公司定制网站做的怎么样？  交易网站制作流程,我想开通一个网站，注册一个交易网址，需要那些手续？  高端建站如何打造兼具美学与转化的品牌官网？  天津个人网站制作公司,天津网约车驾驶员从业资格证官网？  如何确保FTP站点访问权限与数据传输安全？  免费网站制作appp,免费制作app哪个平台好？  广州网站制作公司哪家好一点,广州欧莱雅百库网络科技有限公司官网？  招贴海报怎么做,什么是海报招贴？  如何正确下载安装西数主机建站助手？  如何注册花生壳免费域名并搭建个人网站？  如何基于PHP生成高效IDC网络公司建站源码？  大学网站设计制作软件有哪些,如何将网站制作成自己app？