XXE（XML External Entity）是针对解析XML输入的应用的攻击，利用弱配置XML解析器处理包含外部实体引用的恶意XML内容，可能导致文件读取、系统命令执行、内网端口探测等危害。攻击者通过XML的DOCTYPE头部定义实体，利用内部或外部DTD声明，以读取或执行非预期操作。防御措施包括禁用外部实体、过滤XML输入和定期更新代码库。
1、概念
XXE（XML External Entity）是指xml外部实体攻击漏洞。XML外部实体攻击是针对解析XML输入的应用程序的一种攻击。当包含对外部实体的引用的XML输入被弱配置XML解析器处理时，就会发生这种攻击。这种攻击通过构造恶意内容，可导致读取任意文件、执行系统命令、探测内网端口、攻击内网网站等危害。
（简单来说，XXE就是XML外部实体注入。当应用程序允许引用外部实体时，通过构造恶意内容，就可以导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害。）
2、文档的基础组成
XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素；
3、漏洞原理
3.1、DTD
文档类型定义（DTD）可定义合法的XML文档构建模块。它使用一系列合法的元素来定义文档的结构。DTD 可被成行地声明于 XML 文档中，也可作为一个外部引用。
3.1.1、内部的 DOCTYPE 声明：
<!DOCTYPE 根元素 [元素声明]>
最低0.47元/天 解锁文章
2168
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
