Webgoat --XEE

基础知识

• XMl定义
  XML由3个部分构成，它们分别是：
  文档类型定义（Document Type Definition，DTD），即XML的布局语言；
  可扩展的样式语言（Extensible Style Language，XSL），即XML的样式表语言；
  可扩展链接语言（Extensible Link Language，XLL）。
  XML:可扩展标记语言，是一种用于标记电子文件使其具有结构性的标记语言。
  可扩展标记语言(XML)和超文本标记语言(HTML)为不同的目的而设计
  XML被设计用来传输和存储数据，其焦点是数据的内容。
  HTML被设计用来显示数据，其焦点是数据的外观
• XML的作用
  XML使用元素和属性来描述数 据。在数据传送过程中，XML始终保留了诸如父/子关系这样的数据结构。几个应用程序 可以共享和解析同一个XML文件，不必使用传统的字符串解析或拆解过程。
• 引用外部DTD

<!DOCTYPE 根元素 SYSTEM "文件名">
 或
 #SYSTEM标识符意味着该实体将从外部来源获取内容，调用外部资源,而这里是支持很多的协议,如:http;file等
<!DOCTYPE 根元素 PUBLIC "public_ID" "文件名">

外部实体类型有

• CDATA
  CDATA 指的是不应由 XML 解析器进行解析的文本数据（Unparsed Character Data）
  在 XML 元素中，"<" （新元素的开始）和 “&” （字符实体的开始）是非法的。
  某些文本，比如 JavaScript 代码，包含大量 “<” 或 “&” 字符。为了避免错误，可以将脚本代码定义为 CDATA。
  CDATA 部分中的所有内容都会被解析器忽略。
  CDATA 部分由 “<![CDATA[" 开始，由 "]]>” 结束

• xml的实体–参数实体
  只有在DTD中才能引用参数实体
  该类型的实体用“％”字符（或十六进制编码的％）声明，并且仅在经过解析和验证后才用于替换DTD中的文本或其他内容

<!ENTITY 实体名称 "实体的值">
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE root [
<!ENTITY % param1 "<!ENTITY internal 'http://evil.com'>">
%param1;
]>
<root>
<test>[This is my site] &internal;</test>
</root>
#先执行%param1; 再执行 &internal;

参数实体在DTD中解析优先级高于xml内部实体
参数实体特性
1）只能在DTD内部
2）立即引用
3）实体嵌套

<?xml version="1.0" encoding="UTF-8"?>  //XML 声明
<!DOCTYPE user [					    //XML文档定义 DTD
  <!ELEMENT user(name,age) >	
  <!ELEMENT name (#PCDATA)>		       //XML 约束
  <!ELEMENT age (#PCDATA)>		       
  <!ENTITY name "Jo Smith">			   //XML实体
  <!ELEMENT age "20" >		       
]>
<user></