当XML注入遇上Cookie篡改：我的网站差点被“穿心”！
哎呦喂,说到这个话题，我现在后背还发凉呢！上周五半夜，我正在撸串配可乐，突然收到服务器告警——CPU飙到99%，数据库疯狂报错，我赶紧打开日志一看，差点把手机摔了！XML注入和Cookie串谋作案，这配合打得比我和我老婆的默契还高！
事情是这样的……
我那个电商网站不是有个用户反馈功能嘛,就是让用户提交一些偏好设置，存成XML文件，我寻思着这功能简单得很，就随手写了个解析逻辑，结果你猜怎么着？黑客直接在反馈内容里塞了<!DOCTYPE foo [<!ENTITY xxe SYSTEM "file:///etc/passwd">]>，这波操作直接把我的服务器文件读了个遍！天呐，我密码文件差点就裸奔了啊！
更绝的是,这家伙还在Cookie里动了手脚，大家都知道，Cookie是用来保持登录状态的吧？他居然在Cookie里伪造了用户角色和权限标识，配合XML注入读到的数据库配置信息，直接给我来个组合拳——先读取管理员凭据，再篡改Cookie模拟登录，这套路简直比我前女友的变脸速度还快！
为什么会这么惨？
说真的,我当时真想抽自己两巴掌，XML解析用的是老掉牙的DocumentBuilderFactory，默认配置下外部实体解析根本没关！这就像你把家门钥匙挂门口还贴了张纸条说“欢迎光临”一样，不是找偷是啥？
至于Cookie,哎，我居然图省事用了个简单的哈希校验，而且没加盐！黑客随便爆破一下就能伪造，你说气不气人？这就好比你设了个银行卡密码是123456，还告诉小偷“密码是你生日”——这不是明摆着让人薅羊毛吗？
修复过程简直要命
那晚我硬是修到凌晨四点,邻居家的狗都开始骂娘了，首先把XML解析器配置成禁用外部实体，整整加了六行代码！就这么点东西，我愣是查了俩小时文档，然后给Cookie加了签名机制，用PHP的hash_hmac函数加上随机盐值，终于让伪造Cookie变成了一场梦。
最绝的是,我还给所有用户反馈加了个关键词过滤，碰到<!ENTITY、SYSTEM这种字眼直接弹错误提示，这下黑客就算把XML注入脚本写成了花，也只能干瞪眼。
这血泪教训必须分享
- XML解析必须禁用外部实体，这是无数人用生命换来的教训啊！
- Cookie必须签名加时间戳，还要定期轮换密钥，别嫌麻烦！
- 永远不要相信用户输入，哪怕是你亲儿子传来的数据也得过滤！
现在想想,如果黑客那晚没有急着提取数据，而是直接改我财务数据，我这公司怕是要凉透了，唉，做安全的兄弟们，咱们真是一步都不能错啊！这次能侥幸脱险，真是烧了三辈子高香呐。
友情提示：要是你也在开发中经常遇到类似的安全问题，想要系统学习网络安全攻防技术，随时加我QQ一起交流！安全问题没有侥幸，只有步步为营！
QQ：123456789（添加时请备注“网络安全学习”哦）
