XXE漏洞原理、xxe-lab演示和防御

目录

（一）XML基础知识

1. 简介：

2. XML原理：

2.1 XML格式要求

2.2 XML结构

2.3 XML格式校验

2.4 实体ENTITY的使用

2.5 外部实体引用：协议

2.6  完整的XML内容

（二）什么是XXE漏洞

内网端口探测：

 系统命令执行：

 攻击内网网站：

（三）XXE利用方式

直打：xxe靶场

 1、先确定是否为xml

2、修改内容传输实体

3、放到Repeater模块

盲打-DNSLog

1、DNSlog 

盲打-http接口参数，写入文件

1、remote到外部实体

2、实体解析

 (四）防御方式

1、禁用此功能

PHP：

Java：

Python：

2、过滤用户提交的XML数据：

3、WAF

---

（一）XML基础知识

1. 简介：

e X tensible M arkup L anguage

•  可扩展标记语言

        常用于从客户端向服务器提交数据。然后， 服务器端应用程序将处理这些数据，并且可能会返回一个包含XML或任何其他格式数据的响应。和HTML有一定的相像之处（部分语法不同），它还可以做配置文件、交换数据和图像格式等等