本文详细介绍了XML External Entity Injection（XXE）漏洞，包括XML的定义、外部实体与内部实体、利用方式、无回显XXE的利用技巧，以及如何通过禁用外部实体来防御XXE攻击。此外，还分享了作者的个人经历和网络安全学习资源。
禁止使用外部实体
Xml是可扩展标记语言，Xml引入外部实体而XML的设计宗旨是传输数据，不是显示数据，所以XML是各种应用程序之间数据传输最常用的格式。「与HTML的区别在于一个被设计用来展示数据，一个用来传输数据」。
特点
XML 的设计宗旨是传输数据，而非显示数据
XML 标签没有被预定义，需要自行定义标签。
XML 被设计为具有自我描述性。
XML 是 W3C（www.com) 的推荐标准
外部实体是xml对本服务器外的服务器进行访问的动作，内部实体就是在本服务器执行动作，一般情况下内部实体是攻击者利用不到的
结构分为三部分声明，XML声明、DTD文档类型定义（可选）、文档元素
dtd作用是定义 XML 文档的规
1793
924
1747
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
最低0.47元/天 解锁文章
