XXE漏洞(XML外部实体注入漏洞)
一、XML基础知识
XML用于标记电子文件使其具有结构性的标记语言,可以用来标记数据、定义数据类型,是一种允许用户对自己的标记语言进行定义的源语言。
所有的 XML 文档(以及 HTML 文档)均由以下简单的构建模块构成:
(1)元素
(2)属性
(3)实体
(4)PCDATA
(5)CDATA
下面是每个构建模块的简要描述。
1,元素
元素是 XML以及HTML文档的主要构建模块,元素可包含文本、其他元素或者是空的。
实例:
2,属性
属性可提供有关元素的额外信息
实例:
〈价格 货币单位=“人民币”〉18.00〈/价格〉
3,实体
实体是用来定义普通文本的变量,实体是对数据的引用。
4,PCDATA
PCDATA 的意思是被解析的字符数据(parsed character data)。
5,CDATA
CDATA 的意思是字符数据(character data)。
CDATA 是不会被解析器解析的文本。
XML 文档有自己的一个格式规范,这个格式规范是由一个叫做 DTD(document type definition) 的东西控制的。
DTD 可以在 XML 文档内声明,也可以外部引用。
内部声明