Immer mehr Internetseiten arbeiten heutzutage mit asynchronen Aufrufen, die an diverse Webservices angebunden sind. Dabei wird oft auf XML als Austauchformat zurückzugriffen. Sollte Ihre Webschnittstelle XML erwarten, ist es empfehlenswert, diesen mit einer XML Bombe auf DOS-Attacken-Sicherheit zu testen.
Das Prinzip einer solchen Bombe ist so einfach, wie auch effektiv. Man deklariert eine Entität mit einem String als Inhalt. Dann erstellt man eine weitere Entität, die auf die vorherige mehrfach referenziert. Wiederholt man diesen Vorgang, potenziert sich das Vorkommen. Zu guter Letzt verweist man im XML auf die letzte Entität und bekommt eine Ausgabe, die gigantisch groß werden kann.
Das folgende Beispiel zeigt eine XML Bombe:
Ruft man diese XML zum Beispiel im Internet Explorer auf, bekommt man folgende Ausgabe (gekürzt):
Testen Sie doch einfach selbst Ihre Services auf ihre Sicherheit:
