记一次XXE渗透实战

最新推荐文章于 2025-02-22 11:38:36 发布
最新推荐文章于 2025-02-22 11:38:36 发布
阅读量747 收藏 5
点赞数 3
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/qq_43998932/article/details/108701612
本文详细介绍了XXE（XML External Entity）漏洞的概念、原理，通过实例展示了如何利用XXE漏洞读取服务器敏感信息，包括如何搭建炮台、构造payload，并最终获取网站后台管理员的数据库凭据。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

0x00、XXE是什么？

XXE也就是XML外部实体注入攻击。

0x01、什么是XML呢？

1.XML 指可扩展标记语言（EXtensible Markup Language）
2.XML 是一种标记语言，很类似 HTML
3.XML 的设计宗旨是传输数据，而非显示数据
4.XML 标签没有被预定义。您需要自行定义标签。
5.XML 被设计为具有自我描述性。
6.XML 是 W3C 的推荐标准

0x03、XXE实体注入原理

有了XML实体，关键字’SYSTEM’会令XML解析器从URI中读取内容，并允许它在XML文档中被替换。因此，攻击者可以通过实体将他自定义的值发送给应用程序，然后让应用程序去呈现。 简单来说，攻击者强制XML解析器去访问攻击者指定的资源内容（可能是系统上本地文件亦或是远程系统上的文件)。

0x04、实战部分

找到网站，先收集下指纹信息吧。
在这里插入图片描述

whatweb在线指纹识别（本来一直用云悉的，但是现在云悉搞得越来越反人类了，各种条件限制，就用whatweb吧）
在这里插入图片描述
可以看到这个网站是用闪灵cms搭建的，还有中间件是apache，各种后端语言版本等等。

网上有这个cms的源码，下载下来用自己微薄的代码审计功力看下吧，直接查找敏感函数Simplexml_load_string，在与

最低0.47元/天 解锁文章

200万优质内容无限畅学
XXE渗透与攻防（一）
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
12-28 615
现在许多不同的客户端技术都可以使用XMl向业务应用程序发送消息，为了使应用程序使用自定义的XML消息，应用程序必须先去解析XML文档，并且检查XML格式是否正确。当解析器允许XML外部实体解析时，就会造成XXE漏洞，导致服务器被攻击。
[红日安全]Web安全Day8 - XXE实战攻防
hongrisec的博客
03-03 1135
本文由红日安全成员： ruanruan 编写，如有不当，还望斧正。 大家好，我们是红日安全-Web安全攻防小组。此项目是关于Web安全的系列文章分享，还包含一个HTB靶场供大家练习，我们给这个项目起了一个名字叫 Web安全实战 ，希望对想要学习Web安全的朋友们有所帮助。每一篇文章都是于基于漏洞简介-漏洞原理-漏洞危害-测试方法（手工测试，工具测试）-靶场测试（分为PHP靶场、JAVA靶场、Pyt...
XXE 漏洞实战
qq_46540840的博客
07-25 617
XXE 漏洞实战 补充知识 namp使用 特点 ​ 主机探测:探测网络上的主机,如列出响应TCP,ICMP请求,开放特别端口的主机 ​ 端口扫描: 探测目标主机所开放的端口 ​ 版本探测:探测目标主机的网络服务,其服务名称及版本号 常用命令 nmap -sP 192.168.0.1/24 扫描目标地址所在的C段在线情况 nmap -O 识别目标地址的操作系统 nmap -sV 检测目标地址开放的端口对应的服务版本信息 nmap sn 检测主机,不进行端口扫描 扫描某一目标地址的端
XXE靶机实战-vuluhub系列(三)
PANDA墨森的博客
06-28 543
这是vulnhub靶机系列文章的第三篇，具体下载连接去vulnhub或者百度、谷歌搜搜就好...开始进入主题 首先xxe是xml外部实体注入漏洞，可通过进入外部实体进行攻击，例如读取敏感文件，扫描端口等等，实战中感觉出现几率不是很大，唯一一次遇到是某司面试题，当时团队小伙伴遇到了，运气爆棚的我找到了xxe漏洞，顺道内部交流了下hahaha，不扯淡了，开始吧... 原文链接：https://www.cnblogs.com/PANDA-Mosen/p/13183950.html #001寻找靶机ip ..
听补天漏洞审核专家实战讲解XXE漏洞
dfdhxb995397的博客
08-25 357
对于将“挖洞”作为施展自身才干、展现自身价值方式的白 帽 子来说，听漏洞审核专家讲如何挖掘并验证漏洞，绝对不失为一种快速的成长方式！ XXE Injection(XML External Entity Injection)，是一种容易被忽视，但危害巨大的漏洞。它是一种隐蔽并且经常被忽视的漏洞，可以利用XML外部实体加载注入，执行不可预控的代码。 据补天数据统计，每100个漏洞里，有0...
XXE 漏洞及案例实战
来日可期的博客
09-24 4173
XXE漏洞全称XML External Entity Injection，即XML外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。
XXE漏洞深度解析与实战演练
此外，文中还提到了一个VulnHub靶场XXE Lab:1的过关记录，适合对前后端有一定了解且想学习安全知识的人群。 一、XXE漏洞原理 XXE（XML External Entity）漏洞源于XML解析器允许定义和使用外部实体。攻击者通过提交...
网络安全HTTP协议XXE漏洞攻防详解：支付接口安全案例与防御方案设计
最新发布
07-14
内容概要：本文档详细介绍了XXE（XML外部实体注入）漏洞的原理、危害、实战复现及防御方案。首先分析了XXE漏洞的机制及其可能导致的危害，如敏感文件读取、服务器端请求伪造（SSRF）、拒绝服务（DoS）和远程代码执行...
xxe漏洞学习与实战
永不垂头的博客
08-14 354
xxe漏洞学习与实战 提示：这里可以添加系列文章的所有文章的目录，目录需要自己手动添加 例如：第一章 Python 机器学习入门之pandas的使用 提示：写完文章后，目录可以自动生成，如何生成可参考右边的帮助文档 文章目录xxe漏洞学习与实战一、Xxe漏洞学习二、Xxe漏洞实战三、我的公众号 一、Xxe漏洞学习 Xxe是一种针对xml终端的攻击，想要实施这种攻击，需要在xml的payload包含外部实体声明，且服务器本身允许实体扩展。这样就能读取web服务器文件系统，通过unc路径访问远程文件，或者
xxe漏洞靶场实战通过
m0_73771249的博客
08-29 539
1、用nmap扫描C段，找到靶场 2、打开网址，查看robots.txt文件 3、发现有两个目录，分别查看发现一个登录页面 4、使用BP抓包，发现是xml类型 5、尝试查看/etc/passwd 文件，在尝试查看xxe.php文件，发现是编码后的，尝试解码后发现没有什么用处 6、再查看robots.txt中发现的admin.php,发现也是编码后的，解码后发现了用户名和md5编码后的密码，尝试解码，然后登录 7、登录后发现发现页面有个flag
XXE漏洞详解（三）——XXE漏洞实际运用
永远是少年
12-23 886
今天继续给大家介绍渗透测试相关知识，本文主要内容是XXE漏洞详解（三）——XXE漏洞实际运用。 一、XXE漏洞简介 二、XXE漏洞pikachu靶场介绍 三、XXE漏洞pikachu靶场实战 （一）利用XXE漏洞读取文件 （二）利用XXE漏洞进行内网探测
【burpsuite安全练兵场-服务端10】XML外部实体注入（XXE注入）-9个实验（全）
wangluoanquan111的博客
01-26 1243
blog.csdnimg.cn/3e1c80dc452343c9b3e29c5030fa90b1.png)博主：网络安全领域狂热爱好者（承诺在优快云永久无偿分享文章）。!blog.csdnimg.cn/3e1c80dc452343c9b3e29c5030fa90b1.png)殊荣：优快云网络安全领域优质创作者，2022年双十一业务安全保卫战-某厂第一名，某厂特邀数字业务安全研究员，edusrc高白帽，vulfocus、攻防世界等平台排名100+、高校漏洞证书、cnvd原创漏洞证书等。!
XML外部实体攻击原理以及实战（XXE）（1）
Ba1_Ma0的博客
04-21 2059
extensible markup language(XML)类似于HTML的可扩展的标记语言，但主要区别在于，HTML是关于数据表示的，但是XML是关于数据传输的，XML是可读的，他被用在很多地方，比如API，UI布局，android应用程序配置文件，RSS等
从原理到实战，详解XXE攻击，从零基础到精通，收藏这篇就够了！
mmquangefafafa的博客
02-22 934
常见的支持xinclude特性的xml解析器都是默认关闭xinclude特性的，如果使用，需要在代码中手动开启，如在DOM型解析器中开启如下配置。当xml解析器支持对于外部实体的解析且待解析的xml文件可由外部控制时，就会发生此攻击。常见的支持xinclude特性的xml解析器都是默认关闭xinclude特性的，如果使用，需要在代码中手动开启，如在DOM型解析器中开启如下配置。执行结果：如果程序中不对解析实体做限制的话，可以通过少量的DTD定义，实现海量大小的解析结果的效果，会大量占用服务器的处理、存储。
vulhub xxe靶机渗透测试
kknifek的博客
08-29 446
这里可以看到在我们用户名的位置是有回显的，我们可以在这里做文章 得到flag.php的地址
XXE实体注入（超详细！）
热门推荐
qq_45300786的博客
09-06 1万+
可以把它理解为txt，就是存储文件的， 读取并调用出来，这是最核心的 将你的代码当成XXE代码，然后XXE再交给PHP去执行 将1.txt的东西，放入test这个变量 实体就是变量 &test就是输出这个变量 <scan></scan>只是一个声明格式，随便写什么，就算写成<abc></abc>都可以，只要满足<x></x>格式就行 最主要的是访问的地址，file，http等协议都可以。 XXE：XML外部实体注入，原理：.
渗透之路基础 -- XXE注入漏洞
09-17 485
XXE漏洞 XXE漏洞全称XML External Entity Injection即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。 类似于...
Web渗透：XXE-XML外部实体漏洞
WolvenSec的博客
06-24 1265
XML（可扩展标记语言，Extensible Markup Language）是一种标记语言，用于描述数据。XML非常适合数据存储和传输，因为它是纯文本，并且是可读的和可扩展的。XML广泛用于各种应用程序中，包括配置文件、文档格式和数据交换等。DTD（Document Type Definition，文档类型定义）是XML的一种语法，用于定义XML文档的结构和规则；
【渗透测试】XXE漏洞原理
ssrf
12-06 803
目录一、XXE是什么？二、具体实验1、有回显读本地敏感文件2、无回显读本地敏感文件 一、XXE是什么？ 普通的 XML 注入： 这类似于xss攻击，向源码中插入我们构造好的标签完成攻击。 XXE(XML External Entity Injection) 全称为 XML 外部实体注入 二、具体实验 1、有回显读本地敏感文件 实验环境phpStudy 2018 PHP 5.4.45 PHP <?php libxml_disable_entity_loader (false); $xm
评论 6
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值