security - ServiceStack XML 炸弹和外部实体攻击

Question

我在 MS 的网站上阅读了一篇关于 XML 拒绝服务攻击和防御的旧文章（大约 2009 年） 。

我很好奇 ServiceStack 是否容易受到这些攻击，以及在必要时如何应用 MS 的以下建议。

XmlReaderSettings settings = new XmlReaderSettings();
settings.DtdProcessing = DtdProcessing.Prohibit;
settings.MaxCharactersFromEntities = 1024;
settings.XmlResolver = null;

Answer 1

想知道你是否得到了答案。我看到了漏洞并需要缓解。

Answer 2

现在默认情况下从 v5.0.1 禁用此功能，现在可以在 MyGet 上使用。