XXE漏洞（XML外部实体注入漏洞）

XXE漏洞（XML外部实体注入漏洞）

一、XML基础知识

XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。
所有的 XML 文档（以及 HTML 文档）均由以下简单的构建模块构成：
（1）元素
（2）属性
（3）实体
（4）PCDATA
（5）CDATA
下面是每个构建模块的简要描述。
1，元素
元素是 XML以及HTML文档的主要构建模块，元素可包含文本、其他元素或者是空的。
实例:

body text in between some message in between 〈价格〉18.00〈/价格〉

2，属性
属性可提供有关元素的额外信息
实例：
〈价格 货币单位=“人民币”〉18.00〈/价格〉

3，实体
实体是用来定义普通文本的变量，实体是对数据的引用。

4，PCDATA
PCDATA 的意思是被解析的字符数据（parsed character data）。

5，CDATA
CDATA 的意思是字符数据（character data）。
CDATA 是不会被解析器解析的文本。

XML 文档有自己的一个格式规范，这个格式规范是由一个叫做 DTD（document type definition） 的东西控制的。

DTD 可以在 XML 文档内声明，也可以外部引用。

内部声明