深入浅出带你了解XML实体注入

最新推荐文章于 2024-05-30 08:00:00 发布

网络安全大菠萝

最新推荐文章于 2024-05-30 08:00:00 发布

阅读量257

点赞数

文章标签： xml 安全 web安全

本文链接：https://blog.csdn.net/Candour_0/article/details/129106505

版权

本文深入探讨了XML外部实体注入（XXE）漏洞，介绍了XML实体的基础知识，包括XML文档类型定义（DTD）。通过实例展示了如何判断服务器是否允许XML实体解析，以及XXE在读取任意文件、内网端口探测、命令执行等方面的应用。同时，文章提供了一个PHP环境下的XXE漏洞示例，并给出了网络安全学习路线，涵盖了从基础入门到高阶提升的各个阶段。

摘要由CSDN通过智能技术生成

引文

在平常的WEB渗透中，我们经常会遇到SQL注入、文件上传、SSRF、CSRF等一系列的漏洞，但XXE漏洞在座的读者们了解过吗。今天带大家了解一下这个危险程度同样很高的XXE漏洞。

简介

Xml外部实体注入漏洞（XML External Entity Injection）简称XXE，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可以构造加载恶意外部文件，进而通过恶意外部文件对服务器进行攻击。

基础知识

在了解XXE漏洞前，我们先看看什么是XML实体。XML根据简单概括为如下：可扩展标记语言 (Extensible Markup Language, XML) ，标准通用标记语言的子集，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。 XML是标准通用标记语言可扩展性良好,内容与形式分离,遵循严格的语法要求,保值性良好等优点。

可能单看文字读者们不太好理解，下面给大家简单举个例子：

上图就是一个简单的XML实体，用代码显示可以展示为：

<bookstore> <book category="COOKING"> <title lang="en">Everyday Italian</title> <author>Giada De Laurentiis</author> <year>2005</year> <price>30.00</price> </book> <book category="CHILDREN"> <title lang="en">Harry Potter</title> <author>J K. Rowling</author> <year>2005</year> <price>29.99</price> </book> <book category="WEB"> <title lang="en">Learning XML</title> <author>Erik T. Ray</author> <year>2003</year> <price>39.95</price> </book> </bookstore>

其中根的元素是 bookstore,book中元素有子元素&#