本文介绍了通过XXE（XML外部实体注入）靶机进行渗透测试的过程。首先，文章详细描述了靶机的背景和攻防环境，包括信息收集、目录扫描、XXE漏洞的发现和利用。在获取到用户名和密码后，尝试登录系统，最终通过XXE漏洞读取到flag。总结了XXE漏洞的利用步骤，强调了其在实际测试中的应用。
靶机介绍
Haboob团队根据https://www.exploit-db.com/docs/45374发表的论文"XML外部实体注入-解释和利用"制作了这个虚拟机以利用私有网络中的漏洞，我们希望你喜欢这个挑战！
靶机攻防
攻击主机
这里我们使用Kali linux和Windows 11作为本次攻击主机：
信息收集
由于靶机和攻击者主机Kali处于同一网段，所以我们进行一次网段扫描探测，最终确定靶机IP地址为192.168.204.138
nmap -sS 192.168.204.135/24
在
订阅专栏 解锁全文
扫一扫
1978
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
