XXE漏洞详解(XML外部实体注入)

目录

XXE

XXE漏洞演示利用(任意文件读取)

Blind OOB XXE

目录浏览和任意文件读取

端口扫描

远程代码执行

XXE漏洞的挖掘

XXE的防御

---

在学习XXE漏洞之前，我们先了解下XML。传送门——> XML和JSON数据格式

那么什么是XXE漏洞呢？

XXE

XXE(XML External Entity Injection)也就是XML外部实体注入，XXE漏洞发生在应用程序解析XML输入时，XML文件的解析依赖libxml 库，而 libxml2.9 以前的版本默认支持并开启了对外部实体的引用，服务端解析用户提交的XML文件时，未对XML文件引用的外部实体（含外部一般实体和外部参数实体）做合适的处理，并且实体的URL支持 file:// 和 ftp:// 等协议，导致可加载恶意外部文件 和 代码，造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、发起Dos攻击等危害。

XXE漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件

那么如何构建外部实体注入呢？

方式一：直接通过DTD外部实体声明