Java代码审计安全篇-XXE(XML外部实体注入)漏洞

已于 2024-03-14 21:57:04 修改
阅读量1.8k 收藏 13
点赞数 15
分类专栏： JAVA代码安全审计 文章标签： java 代码复审
于 2024-03-14 21:53:42 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_63138919/article/details/136721527
版权

前言：

 堕落了三个月，现在因为被找实习而困扰，着实自己能力不足，从今天开始 每天沉淀一点点 ，准备秋招 加油

注意：

本文章参考qax的网络安全java代码审计，记录自己的学习过程，还希望各位博主 师傅 大佬 勿喷，还希望大家指出错误

XXE 漏洞：

原理:当应用程序解析XML输入时，再没有禁用外部实体的加载而导致加载 了外部文件及代码时，就会造成XXE漏洞

利用方式：攻击者强制XML解析器去访问攻击者指定的资源内容(可能是系统上本地文件亦或是远程系统上的文件)，导致可加载恶意外部文件，利用file协议造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。

危害：任意文件读取，内网探测，攻击内网站点（结合SSRF），命令执行 ，dos攻击

XML (参考webgoat)

什么是 XML 实体？

XML 实体允许定义标记，在分析 XML 文档时，这些标记将被内容替换。通常有三种类型的实体：

  • 内部实体

  • 外部实体

  • 参数实体。

必须在文档类型定义 （DTD） 中创建一个实体，让我们从一个示例开始：

  正如你所看到的，一旦XML文档被解析器处理，它就会用定义的常量“Jo Smith”替换定义的实体。正如你所看到的，这有很多优点，因为你可以在一个地方更改为例如“约翰史密斯”。js js

在 Java 应用程序中，XML 可用于将数据从客户端获取到服务器，我们都熟悉 JSON API，我们也可以使用 xml 来获取信息。大多数情况下，框架会根据 xml 结构自动填充 Java 对象，例如：

例子：

让我们看一个 XXE 注入的例子，在上一节中我们看到 XML 实体可以按如下方式使用：

<span style="color:#333333"><span style="background-color:#ffffff"><span style="color:#000000"><span style="background-color:#efefef"><code><span style="color:#557799"><?xml version="1.0" standalone="yes" ?></span>
<span style="color:#3344bb"><!DOCTYPE author [
  <!ELEMENT author (#PCDATA)></span>
  <span style="color:#3344bb"><!ENTITY js "Jo Smith"></span>
<span style="color:#3344bb">]></span>
<span style="color:#007700"><author></span><span style="color:#880000"><strong>&js;</strong></span><span style="color:#007700"></author></span></code></span></span></span></span>
外部 DTD 声明

定义这些实体还可以在外部文件中定义另一个 DTD，例如：

<span style="color:#333333"><span style="background-color:#ffffff"><span style="color:#000000"><span style="background-color:#efefef"><code><span style="color:#557799"><?xml version="1.0"?></span>
<span style="color:#3344bb"><!DOCTYPE note SYSTEM "email.dtd"></span>
<span style="color:#007700"><email></span>
  <span style="color:#007700"><to></span>webgoat@webgoat.org<span style="color:#007700"></to></span>
  <span style="color:#007700"><from></span>webwolf@webwolf.org<span style="color:#007700"></from></span>
  <span style="color:#007700"><subject></span>Your app is great, but contains flaws<span style="color:#007700"></subject></span>
  <span style="color:#007700"><body></span>Hi, your application contains some SQL injections<span style="color:#007700"></body></span>
<span style="color:#007700"></email></span></code></span></span></span></span>

可以定义如下：email.dtd

<span style="color:#333333"><span style="background-color:#ffffff"><span style="color:#000000"><span style="background-color:#efefef"><code><!ELEMENT email (to,from,title,body)>
<!ELEMENT to (#PCDATA)>
<!ELEMENT from (#PCDATA)>
<!ELEMENT subject (#PCDATA)>
<!ELEMENT body (#PCDATA)></code></span></span></span></span>

如果 XML 解析器配置为允许外部 DTD 或实体，则可以使用以下命令更改以下 XML 代码片段：

<span style="color:#333333"><span style="background-color:#ffffff"><span style="color:#000000"><span style="background-color:#efefef"><code><span style="color:#557799"><?xml version="1.0" encoding="utf-8"?></span>
<span style="color:#3344bb"><!DOCTYPE author [
  <!ENTITY js SYSTEM "file:///etc/passwd"></span>
<span style="color:#3344bb">]></span>
<span style="color:#007700"><author></span><span style="color:#880000"><strong>&js;</strong></span><span style="color:#007700"></author></span></code></span></span></span></span>

现在会发生什么？我们从本地文件系统定义了一个包含，XML 解析器将加载文件，并将在引用实体的任何位置添加内容。假设 XML 消息返回给用户，该消息将是：

额外的文档类型定义 （DOCTYPE） 是您始终可以添加到 xml 文档中的内容，如果启用了解析器设置以允许处理外部实体，则查找 XXE 注入的良好开端。

靶场训练 

我们直接进入靶场环境

1. 参考Drunkbaby师傅审计思路

我们随便输入一个评论然后抓包得到：

它会直接会被处理为XML数据，并且经过测试发现没有进行任何的检查或者过滤，reponse返回sorry，意思就是失败那根据这个，我们可以将xml数据中添加XML entity，并采用file:///的方式获取根目录的文件（linux系统就可以读取/etc/passwd等）

paylaod:

<?xml version="1.0"?><!DOCTYPE root [<!ENTITY root SYSTEM "file:///C:/">]><comment><text>&root;</text></comment>

 其中root可以换成其他字符串，但是不要违反XML的命名要求。得到下面就说明成功

这时候c盘文件目录全部被读取泄露 

我们审计一下源代码 

@PostMapping(path = "xxe/simple", consumes = ALL_VALUE, produces = APPLICATION_JSON_VALUE)
  @ResponseBody
  public AttackResult createNewComment(HttpServletRequest request, @RequestBody String commentStr) {
    String error = "";
    try {
      var comment = comments.parseXml(commentStr);
      comments.addComment(comment, false);
      if (checkSolution(comment)) {
        return success(this).build();
      }
    } catch (Exception e) {
      error = ExceptionUtils.getStackTrace(e);
    }
    return failed(this).output(error).build();
  }

我们主要看下面代码

 var comment = comments.parseXml(commentStr);
//var comment = comments.parseXml(commentStr);: 解析传入的XML字符串commentStr，并将结果存储在名为comment的变量中。这里使用了一个名为comments的对象（类型未知）的parseXml方法来执行解析操作。

跳转到 Comments.parseXml 去，主要描述了 parseXml 如何处理 commentStr。 

关注下面两行

var jc = JAXBContext.newInstance(Comment.class);  
var xif = XMLInputFactory.newInstance();
  • 前置知识：JAXB 作为 JDK 的一部分，能便捷地将 Java 对象与 XML 进行相互转换。
  • JAXBContext 是整个 JAXB API 的入口。主要用来构建 JAXB 实例newInstance()。
  • Marshaller接口，将Java对象序列化为XML数据。
  • Unmarshaller接口，将XML数据反序列化为Java对象。

接下来要讲的是产生 XXE 的代码块原因

var unmarshaller = jc.createUnmarshaller();  
return (Comment) unmarshaller.unmarshal(xsr);

此处创建一个 Unmarshaller 对象。返回的值是 XML 经过unmarshal 方法处理的值。由于 unmarshal 在执行过程中解析了 XML(这里类似于反序列化的意思)，导致 XXE 注入。

当把 XML 格式的字符串传递给 Unmarshaller 接口转变成 Java 对象时，会解析一遍 XML，如果传入的值可控就会导致 XXE 注入攻击。

将接受的XML格式评论解析为评论的对象

 comments.addComment(comment, false);//将解析后的评论对象comment添加到名为comments的对象（类型未知）中，以便将其保存到评论列表中。第二个参数false表示该评论不是管理员评论。

      if (checkSolution(comment)) {
        return success(this).build();
      }

就是这里就没对接受的参数进行过滤或者禁用 就直接开始进行check，然后攻击者就可以构造恶意的代码进行攻击

2. REST框架XXE

我们也继续输入1得到

抓包发现 发送的请求不是xml格式 而是json格式 

我们修改为json格式得到报错 

根据XML解析器的不同，您可能会得到更好的错误消息，在这种情况下，消息有点神秘，这意味着我们没有发送有效的xml。

 我们使用上一关的paylaod继续读取C盘

成功读取C盘内容 

审计：

ContentTypeAssignment.java

public AttackResult createNewUser(
      HttpServletRequest request,
      @RequestBody String commentStr,
      @RequestHeader("Content-Type") String contentType) {
    AttackResult attackResult = failed(this).build();

    if (APPLICATION_JSON_VALUE.equals(contentType)) {
      comments.parseJson(commentStr).ifPresent(c -> comments.addComment(c, true));
      attackResult = failed(this).feedback("xxe.content.type.feedback.json").build();
    }

    if (null != contentType && contentType.contains(MediaType.APPLICATION_XML_VALUE)) {
      String error = "";
      try {
        Comment comment = comments.parseXml(commentStr);
        comments.addComment(comment, false);
        if (checkSolution(comment)) {
          attackResult = success(this).build();
        }
      } catch (Exception e) {
        error = ExceptionUtils.getStackTrace(e);
        attackResult = failed(this).feedback("xxe.content.type.feedback.xml").output(error).build();
      }
    }

    return attackResult;

并没有对Content-Type 进行严格的过滤。 然后也是使用了parsexml函数 跟上提一样

3.XXE DOS攻击

使用相同的 XXE 攻击，我们可以对服务器执行 DOS 服务攻击。此类攻击的一个例子是：

<?xml version="1.0"?>
<!DOCTYPE lolz [
 <!ENTITY lol "lol">
 <!ELEMENT lolz (#PCDATA)>
 <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
 <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">
 <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
 <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
 <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
 <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
 <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
 <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
 <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>

当 XML 解析器加载此文档时，它会看到它包含一个根元素“lolz”，其中包含文本“&lol9;”。但是，“&lol9;”是一个已定义的实体，它扩展为包含十个“&lol8;”字符串的字符串。每个“&lol8;”字符串都是一个定义的实体，可扩展为十个“&lol7;”字符串，依此类推。在处理完所有实体扩展后，这个小的（< 1 KB）的 XML 块实际上将占用近 3 GB 的内存。

修复（参考百度开发者中心）：

  1. 验证输入数据：对所有输入数据进行严格的验证和过滤，确保没有恶意的内容被注入到应用程序中。对所有用户输入进行适当的验证和清理，可以有效地防止攻击者利用XXE漏洞进行攻击。
  2. 禁用外部实体引用：在处理XML数据时，禁用或限制对外部实体的引用。这可以通过配置XML解析器来实现，确保应用程序不会加载外部实体，从而减少被攻击的风险。
  3. 使用安全的XML解析器：选择经过安全加固的XML解析器，并遵循最佳实践来使用它们。这些解析器通常具有内置的安全功能，能够检测和防范XXE攻击。
  4. 限制实体大小：设置合理的实体大小限制，防止攻击者通过大量数据来耗尽资源或触发拒绝服务攻击。
  5. 日志记录和监控：启用详细的日志记录和监控机制，以便及时发现和响应任何可疑的活动。通过监控应用程序的行为和异常模式，可以快速检测并应对潜在的XXE攻击。
  6. 定期更新和维护：保持系统和应用程序的最新状态，及时修复已知的安全漏洞。定期更新和维护可以确保您的系统不受最新的XXE攻击威胁。
  7. 安全培训和意识提升：对开发人员和运维人员进行安全培训，提高他们对XXE漏洞的认识和防范意识。只有当整个团队都意识到安全问题并采取相应的防护措施时，才能更有效地防止XXE攻击。
  8. 使用Web应用防火墙（WAF）：部署一个有效的Web应用防火墙可以提供额外的防护层，监测并阻止恶意请求和已知的攻击模式。WAF可以帮助识别并拦截包含XXE漏洞的恶意请求，保护应用程序免受攻击。
  9. 代码审查和安全测试：实施严格的代码审查和安全测试流程，确保应用程序在开发阶段就避免了潜在的安全风险。通过专业的安全测试工具和团队，可以检测出应用程序中存在的XXE漏洞以及其他安全问题。
  10. 数据加密和保护：对敏感数据进行加密存储和传输，降低数据泄露的风险。即使攻击者能够利用XXE漏洞获取敏感信息，加密措施也可以使数据难以被利用。

源码地址

 https://github.com/WebGoat/WebGoat/tree/main/src/main/java/org/owasp/webgoat/lessons/xxe

W3nd4L0v3
关注
  • 15
    点赞
  • 踩
  • 13
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
XML注入漏洞
武天旭的博客
10-05 1947
一、漏洞描述 XML外部实体注入攻击，无论是WEB程序，还是PC程序，只要处理用户可控的XML都可能存在危害极大的XXE漏洞，开发人员在处理XML时需谨慎，在用户可控的XML数据里禁止引用外部实体。
java xml 实体注入_防止 XML外部实体注入
weixin_35193765的博客
02-16 2638
方式一DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();// 这是优先选择. 如果不允许DTDs (doctypes) ,几乎可以阻止所有的XML实体攻击String FEATURE = "http://apache.org/xml/features/disallow-doctype-decl";dbf.setFea...
如何禁用XXE处理？
weixin_49715102的博客
04-07 4185
在我的上一篇文章中，我谈到了在目前流行的开源项目中发现的XXE漏洞，以及如何更全面地评估该类问题。今天我将讨论禁用XXE处理的几种策略。 外部实体（XXE）和内部实体对于构建简洁的XML文档非常重要。防止出现XXE漏洞的适当办法取决于您的项目需要。它可以像完全禁用外部实体一样简单，也可以只对您需要的实体和信任的实体进行稍微复杂一点的处理就可以有效解决。 与任何其他被研究的语言相比，Java语言，尤其是JAXP API，为我们提供了更多的选项，所以我们的代码示例和解决方案将主要使用Java语言来进行，但我们也
XML 外部实体注入漏洞
qq_40201047的博客
11-14 4619
0x01 XXE（XML外部实体注入）漏洞 1.1 漏洞原因 1.2 漏洞构造方式 1.3 XML可解析的协议 0x02 寻找XXE漏洞隐藏的攻击面 2.1 XInclude攻击 2.2 通过文件上传进行XXE攻击 2.3 通过修改Content-Type头进行XXE攻击 0x03 如何查找和测试XXE漏洞 0x01 XXE（XML外部实体注入）漏洞 1.1 漏洞原因 XML外部实体注入（XML Extenrnal Entity Injection），简称XXE漏洞。引发...
java代码审计9之XXE
划水的小白白
08-10 340
1、简介 2、 java XXE审计函数 3、漏洞 3.1、正常的业务 3.2、有回显的情况 3.3、无回显的情况 3.4、修复
运用JAXB实现xml实体的按需注入
weixin_33893473的博客
03-06 134
为什么80%的码农都做不了架构师？>>> ...
XML注入攻击
热门推荐
beyond__devil的博客
10-10 1万+
一、漏洞描述 XML文件的解析依赖libxml库，而libxml2.9以前的版本默认支持并开启了外部实体的引用，服务端解析用户提交的xml文件时未对xml文件引用的外部实体（含外部普通实体和外部参数实体）做合适的处理，并且实体的URL支持file://和php://等协议，攻击者可以在xml文件中声明URI指向服务器本地的实体造成攻击。 图片素材来自网络 二、形成原因 解析
XXE攻防——XML外部实体注入
aezwm4109的博客
05-24 2138
转自腾讯安全应急响应中心 一、XML基础知识 XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。DTD 可以在 XML 文档内声明，也可以外...
web漏洞-xml外部实体注入(XXE)
rumil的博客
10-09 2166
XXE漏洞全称XML External Entity Injection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题"，也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。
[JAVA]-xml 防xxe注入 备注
小白的日常记录
09-30 7077
https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet#SAXBuilder Java的 使用XML库的Java应用程序特别容易受到XXE的攻击，因为大多数Java XML解析器的默认设置是启用XXE。要安全地使用这些解析器，您必须在您使用的解析器中显式禁用XXE。下面介绍如何在最常用的J...
xml外部实体攻击
07-17
xml外部实体使用，漏洞产生原因，详细举例攻击原理，修复方法等
XXE漏洞-XML 外部实体注入
zeroc009的博客
02-11 2746
XXE漏洞-XML 外部实体注入xxe介绍xml基础知识新的改变功能快捷键合理的创建标题，有助于目录的生成如何改变文本的样式插入链接与图片如何插入一段漂亮的代码片生成一个适合你的列表创建一个表格设定内容居中、居左、居右SmartyPants创建一个自定义列表如何创建一个注脚注释也是必不可少的KaTeX数学公式新的甘特图功能，丰富你的文章UML 图表FLowchart流程图导出与导入导出导入 xxe介绍 Xml外部实体注入漏洞（XML External Entity Injection）简称XXE，XXE漏洞
XML常见解析方式及XXE防御
最新发布
chaottop的博客
05-04 1106
SimpleXML是PHP5后提供的一套简单易用的xml工具集，可以把xml转换成方便处理的对象，也可以组织生成xml数据。不过它不适用于包含namespace的xml，而且要保证xml格式完整(well-formed)。它提供了三个方法：simplexml_import_dom、simplexml_load_file、simplexml_load_string，函数名很直观地说明了函数的作用。三个函数都返回SimpleXMLElement对象，数据的读取/添加都是通过SimpleXMLElement操作.
探秘Java XXE漏洞利用：深度解析与实践项目
gitblog_00039的博客
04-20 307
探秘Java XXE漏洞利用：深度解析与实践项目 项目地址:https://gitcode.com/LeadroyaL/java_xxe_2019 项目简介 在这个GitCode项目中，作者LeadroyaL分享了关于2019年Java XML External Entity (XXE) 漏洞的研究和实战应用。该项目旨在教育和帮助开发者理解这种安全漏洞，如何防止它，并提供了一些实际的代码示例以供学...
《JAVA代码审计》（1）JAXB血案之 XML外部实体注入漏洞(XXE)
午夜安全
04-22 4581
（3）@XmlElement：将Java对象的属性映射为xml的节点，在使用@XmlElement时，可通过name属性改变java对象属性在xml中显示的名称。（2）@XmlAccessorType：用于指定由Java对象生成xml文件时对Java对象属性的访问方式。（4）@XmlAttribute：将Java对象的属性映射为xml的属性，并且可通过name属性为生成的xml属性指定别名。（1）@XmlRootElement：用于类级别的注释，对应XML的根节点。
XML外部实体漏洞 (XXE)简介
allway2的博客
07-27 1237
例如，假设您的应用程序必须从他们的系统中获取用户的操作系统详细信息。例如，他们可以禁用服务器上的防火墙，这将有助于他们发起其他攻击。因此，在这篇博客中，我将解释什么是XXE，以及如何保护您的应用程序免受这种风险的影响。这样做的一部分是为了了解常见的漏洞。如果您有一个使用XML的Web应用程序，那么保护它对您来说很重要。考虑到XXE漏洞可能对您的服务器造成的损害，您不能冒险。因此，黑客可以使用XML外部实体功能修改请求并获取该文件的详细信息。的功能，其中包含有关XML文档结构的信息。...
25、XXE-- XML外部实体注入攻击
WX公众号-小白学安全
04-07 708
文章目录概述XML外部实体PHP特殊函数危害payload防御靶场 概述 XXE ==>XML External Entity （XML外部实体） 原理：用户输入的数据被当做XML实体代码进行执行 XXE==>用户输入的数据被当做XML代码进行了执行，然后利用DTD部分可以通过SYSTEM关键词发起网络请求从而获得数据 XML 可扩展标记语言 设计宗旨：传输数据，而非显示数据 xml标签没有被预定义，需要自定义标签 特点 XML仅是存文本，不会执行任何事情 XML可以自己发明标签（允许定
Java代码漏洞检测-常见漏洞与修复建议
晨港飞燕的专栏
11-19 6529
在工作中，我们的交付团队在交付项目时，可能会遇到甲方会使用一些第三方工具（奇安信等）对项目代码进行扫描，特别是一些对安全性要求比较高的企业，比如涉及到一些证券公司、银行、金融等。他们会在项目上线前进行代码安全检测，通过了对方才会发布上线。原文链接：https://blog.csdn.net/qq_39560975/article/details/131956264。
XML外部实体注入漏洞原理
05-24
XML外部实体注入漏洞（XML External Entity Injection, 简称XXE）是一种常见的安全漏洞，攻击者可以利用这种漏洞来读取任意文件、执行系统命令等操作。 在XML文档中，可以通过定义实体来引用外部资源，例如文件、URL等。当XML解析器解析XML文档时，如果不对外部实体进行限制，攻击者可以通过构造恶意的XML文档，将外部实体指向敏感文件或者恶意URL，从而导致漏洞。 具体来说，攻击者可以在XML文档中定义一个实体，使用DTD（Document Type Definition）语法将该实体指向一个外部文件，然后在XML文档中使用该实体。当XML解析器解析该实体时，就会将指定的外部文件读取进来，从而导致漏洞。 例如，下面的XML文档定义了一个名为“file”的实体，指向了一个敏感文件“/etc/passwd”： ``` <?xml version="1.0" encoding="UTF-8"?> <!DOCTYPE message [ <!ELEMENT message (#PCDATA)> <!ENTITY file SYSTEM "file:///etc/passwd"> ]> <message>&file;</message> ``` 如果XML解析器不对外部实体进行限制，那么解析该文档时就会读取“/etc/passwd”文件的内容，并将其包含在<message>元素中返回给应用程序，从而导致敏感信息泄漏。 为了防止XXE漏洞，可以采取以下措施： 1. 禁止使用外部实体，或者限制外部实体的使用范围。可以在XML解析器中设置相关参数，例如禁止加载外部实体、禁止解析DTD等。 2. 对外部实体进行白名单过滤，只允许加载特定的URL或文件。 3. 检查输入数据，避免恶意输入注入到XML文档中。 4. 对于持久化的XML数据，应该使用安全的XML库来处理，例如使用DOM4J或JAXB等库，这些库会自动过滤掉外部实体。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

W3nd4L0v3

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值