XML

XML基础

http://www.w3school.com.cn/xml/index.asp
http://www.runoob.com/xml/xml-tutorial.html

XML 指可扩展标记语言
XML 被设计用来传输和存储数据。

DTD

http://www.w3school.com.cn/dtd/dtd_intro.asp
http://www.runoob.com/dtd/dtd-tutorial.html

DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。
DTD 可被成行地声明于 XML 文档中，也可作为一个外部引用。

XML外部实体注入(XML External Entity)

XXE漏洞全称XML External Entity Injection即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。

• 浅谈XML实体注入漏洞：http://www.freebuf.com/vuls/175451.html
• XXE外部实体注入：https://blog.youkuaiyun.com/u011215939/article/details/80376304
• XXE攻击指南：https://www.secpulse.com/archives/58915.html
• 谈一谈php://filter的妙用：https://www.secpulse.com/archives/50648.html

//php中禁用加载外部实体的功能
libxml_disable_entity_loader( bool )