生命在于学习——XXE漏洞

已于 2022-08-22 14:59:28 修改
阅读量193 收藏
点赞数
分类专栏： 生命在于学习 # 信息安全学习日记 # 漏洞学习笔记 文章标签： 学习 java spring
于 2022-08-22 14:58:18 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_15131581/article/details/126465815
版权
本文详细介绍了XML外部实体注入（XXE）漏洞，包括XML的结构、DTD、实体类型以及常见语法。XXE允许攻击者通过恶意构造XML输入，获取服务器内部信息或执行任意系统命令。防御方案包括禁用外部实体、过滤用户提交的XML数据和更新相关组件。了解这些知识对于提升系统安全性至关重要。
摘要由CSDN通过智能技术生成

一、XXE描述

1、前言

XML外部实体注入，简称XXE漏洞，XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素，目前，XML文件作为配置文件（Spring、Strust2等）、文档结构说明文件（PDF、RSS等）、图片格式文件（SVG header）应用比较广泛。XML的语法规范由DTD来进行控制。

2、简介

XML是可扩展的标记语言，设计用来进行数据的传输和存储。

二、XML和DTD介绍

1、示例

在这里插入图片描述
在这里插入图片描述

2、PCDATA

pcdata的意思是被解析的字符数据。
可以把字符数据想象为XML元素的开始标签与结束标签之间的文本，PCDATA是会被解析器解析的文本，这些文本将被解析器检查实体以及标记，文本中的标签会被当做标记来处理，而实体会被展开，不过，被解析的字符数据不应当包含任何&、<、>字符，需要用&amp；&lt；以及&gt；实体来分别替换他们。

3、CDATA

CDATA的意思是字符数据。
CDATA是不会被解析器解析的文本，在这些文本中的标签不会被当做标记来对待，其中的实体也不会被展开。

4、常见的xml语法结构

在这里插入图片描述
实体：实体是对数据的引用，根据实体种类的不同，XML解析器将使用实体的替代文本或者外部文档的内容来替代实体引用，它主要分为以下四类。

  • 内置实体
  • 字符实体
  • 通用实体
  • 参数实体
    参数实体用%实体名称申明，引用时也用%实体名称。
    其余实体直接用实体名称申明，引用时用实体名称。
    参数实体只能在DTD中申明，DTD中引用。
    其余实体只能在DTD中申明，在xml文档中引用。
    注意：参数实体是在DTD中被引用的，而其余实体是在xml文档中被引用的，另外定义%后面跟空格。

5、DTD中的一些重要关键字

  • DOCTYPE（DTD的声明）
  • ENTITY(实体的声明)
  • SYSTEM、PUBLIC（外部资源申请）

6、内部实体声明

在这里插入图片描述

7、外部实体声明

在这里插入图片描述
在这里插入图片描述

8、参数实体格式

在这里插入图片描述

三、XXE漏洞防御方案

1、使用开发语言提供的禁用外部实体的方法

在这里插入图片描述

2、过滤用户提交的XML数据

在这里插入图片描述

3、升级libxml组件

「已注销」
关注
专栏目录
XXE漏洞以及XXE漏洞如何修复
计算机毕业论文源码，学生个人网页制作html源码。贴近用户做网络推广和互联网优化。
09-09 2万+
XXE漏洞是什么？XXE：XML External Entity 即外部实体，从安全角度理解成XML External Entity attack 外部实体注入攻击。由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。这些就称为XXE漏洞。知道XXE漏洞前首先得先了解XML。XXE漏洞如何修复的方案一：使用开发语言提供的禁用外部实体的方法1.PHP开发语言禁用外部实体的方法：libxml_disable_entity_loader(true);XXE漏洞如何修复的方案二：尽量不要让用户直接
1.7服务端漏洞——XXE漏洞原理
The code way of kinnisoy
07-07 635
XXE漏洞原理 1.XXE是什么 XXE全称是——XML External Entity,也就是XML外部实体注入攻击.漏洞是在对不安全的外部实体数据进行处理时引发的安全问题。 xml实体注入就是利用了客户端返回xml提交数据时，注入远程调用xml实体的代码来实现一些想要的功能。 要想搞懂XXE，肯定要先了解XML语法规则和外部实体的定义及调用形式。 2.XML介绍 XML数据传输类型（同类：JSON 序列化） XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 语法规则： 1.所有的X
EOS文档
Fly_鹏程万里
12-17 408
Wiki导航 术语表 公测: Dawn 2.0 概览 节点 公测端点 链接EOSD和公测网络 链接本地EOSC和公测网络 公测账户 程序和工具 eosd eosc eos钱包 launcher 快照 eoscpp 本地环境 获取代码 编译EOS Docker 创建并启动一个测试链 常见问题 账户及权限 钱包 ...
2020第五空间 web writeup
a3320315的博客
06-27 3437
hate-php 源码 <?php error_reporting(0); if(!isset($_GET['code'])){ highlight_file(__FILE__); }else{ $code = $_GET['code']; if (preg_match('/(f|l|a|g|\.|p|h|\/|;|\"|\'|\`|\||\[|\]|\_|=)/i',$code)) { die('You are too good for me');
XXE漏洞原理及常见利用方式（以xxe-lab为示例）
weixin_43610673的博客
03-11 2646
这是一个有回显的XXE，这里读的文件是比较理想的，没有会被xml解析的字符，如果像下图中文件的内容一样就会引起xml解析报错（如Linux的/etc/fstab文件其中包含一些看起来像 XML 的字符），XML 解析器会尝试解析这些元素，但其不是一个有效的 XML 文档。而XXE是将XML元素注入变成外部实体注入，上面的基础知识部分已经提到了在DTD中声明外部实体，在xml中实体的作用相当于是一个已经定义的变量，可以在标签内使用，通过 & 符号进行引用。，是不会被解析器解析的文本。...
jarvisoj WEB +MISC writeup
Ni9htMar3的博客
12-26 7292
WEB PORT 51 Login LOCALHOST 神盾局的秘密 IN a mess Easy Gallery Simple Injection 方法一 方法二 api的调用 PHPINFO
未知攻焉知防——XXE漏洞攻防.pdf
09-18
XXE漏洞全称为XML External Entity Injection，即XML外部实体注入漏洞，是一种在应用程序中处理XML数据时出现的安全漏洞。本文将详细介绍XML的基础知识、XXE漏洞的攻击原理、影响以及防御措施。 XML（可扩展标记...
WEB漏洞——XXE
最新发布
qq_63594215的博客
04-12 947
本次文章主要介绍XXE漏洞的原理，利用以及防御的过程，另外还有介绍一点XML的基础知识，详情请见下文。a) xml，eXtensible Markup Language，可扩展标记语言，是一种标记语言，使用简单标记描述数据b) xml是一种非常灵活的语言，没有固定的标签，所有标签都可以自定义c) 通常，xml被用于信息的传递和记录，因此，xml经常被用于充当配置文件如果把HTML和XML进行对比的话，HTML进行对比的话，HTML旨在显示数据信息，而XML旨在用来进行数据的传输和存储。
第五节 XXE漏洞利用 - 任意文件读取 无回显 -01
09-15
XXE 漏洞利用 - 任意文件读取 无回显 XXE（XML External Entity）是一种常见的 Web 应用程序漏洞，攻击者可以通过构造恶意的 XML 文档， trick 服务器将任意文件读取出来，导致敏感信息泄露。在本节中，我们将详细...
XXE漏洞详解【内含vulnhub靶场XXE Lab:1详解】
07-30
XXE（XML External Entity）漏洞，全称为XML外部实体注入，是针对使用XML解析器的应用程序的一种安全漏洞。XML是一种标记语言，常用于数据交换，而外部实体是XML文档的一部分，允许引用外部资源，如文件系统、网络...
Citrix XenDesktop, XenServer, Receiver 5.6 SP2 Pass-The-Hash
cnbird's blog
12-30 1744
Tested against: Citrix XenDesktop, XenServer, Receiver 5.6 SP2 (possibly other versions as well) By default, the authentication between the Citrix Receiver client to the Web interface is not config
XXE漏洞漏洞及利用方法解析
weixin_43749601的博客
03-02 2463
XXE（XML External Entity Injection）即XML外部实体类注入漏洞。XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。XXE漏洞触发的点往往是可以上传XML文件的位置，没有对上传的XML文件进行过滤，导致可上传恶意XML文件。 0x001 XML XML设计用来传送及携带数据信息，不用来表现或展示数据，HTML则用来表现数据，所以XML用途的焦点是它说明数据是什么，以
ctf linux漏洞加固,[原创]个人整理文件包含漏洞攻略
weixin_34357833的博客
05-16 1046
文件包含漏洞解题思路：1、观察提示，是否为系统文件，如win.ini在windows系统的c:/windows/win.ini中，boot.ini在windows系统的c:/boot.ini中linux里有：/etc/shadow /etc/passwd2、带入文件，如果有后缀被自动加上，如果报错，尝试加入%00进行截断，如果报错，尝试加入绝对路径，比如c:/windows/win.ini%00...
XXE(XML External Entity attack)XML外部实体注入攻击
xiaoi123的博客
08-15 2202
导语 　　XXE：XML External Entity 即外部实体，从安全角度理解成XML External Entity attack 外部实体注入攻击。由于程序在解析输入的XML数据时，解析了攻击者伪造的外部实体而产生的。例如PHP中的simplexml_load 默认情况下会解析外部实体，有XXE漏洞的标志性函数为simplexml_load_string（）。 　　尽管XXE漏洞已经...
XXE漏洞利用
weixin_45253622的博客
05-20 2169
XXE(XML外部实体注入) 漏洞介绍 漏洞复现 漏洞防御 漏洞介绍 XXE(XMLExternal Entity Injection)也就是XML外部实体注入，XXE漏洞发生在应用程序解析XML输入时，XML文件的解析依赖libxml库，而libxml2.9以前的版本默认支持并开启了对外部实体的引用，服务端解析用户提交的XML文件时，未对XML文件引用的外部实体(含外部一般实体和外部参数实体）做合适的处理，并且实体的URL支持file://和ftp://等协议，导致可加载恶意外部文件和代码，造成
wuyun知识库目录
Grey的博客
01-15 8504
1269.利用Office宏及Powershell的针对性攻击样本分析2016-06-24 1268.SQL注入关联分析2016-06-24 1267.Android安全开发之ZIP文件目录遍历2016-06-23 1266.search-guard 在 Elasticsearch 2.3 上的运用2016-06-23 1265.签名加密破除-burp插件在app接口fuzz中的运用201
从xxe-lab来深入学习xxe漏洞
aaeoj8957的博客
06-07 747
这几天，想复习一下xxe的知识，于是把以前的一个靶场拿过来玩玩，顺便审计一下代码2333，靶场地址：https://github.com/c0ny1/xxe-lab 首先先练习的是php-xxe： ...
渗透测试-hw面试题解答版
lza20001103的博客
08-19 975
hw面试题解答版 12.如果让你渗透一个网站，你的思路是什么。 13.信息收集技术 14.如何判断是否有CDN。 15.如何绕过CDN 16.SQL注入原理与危害 16.1 SQL注入原理 16.2 SQL注入分类 (1)注入点的不同分类 数字类型的注入 字符串类型的注入 (2)提交方式的不同分类 GET注入 POST注入 COOKIE注入 HTTP注入 (3)获取信息的方式不同分类 基于布尔的盲注 基于时间的盲注 基于报错的注入 二次注入 宽字节注入 16.3 SQL注入防御 17.SQL注入判断注入点的
XXE&XML之利用检测绕过
weixin_52221158的博客
08-27 1434
XML被设计为传输和存储数据，XML文档结构包括XML声明，DTD文档类型定义（可选），文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。
XXE漏洞深度解析与实战演练
本文档详细介绍了XXE（XML External Entity）漏洞的概念、危害、检测方法、利用...通过学习，你可以了解如何识别和利用XXE漏洞，以及如何防止这类漏洞的发生。同时，参与VulnHub的靶场练习将帮助你进一步巩固所学知识。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

「已注销」

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值