XXE的两道题

最新推荐文章于 2023-12-09 13:08:54 发布
最新推荐文章于 2023-12-09 13:08:54 发布
阅读量127 收藏
点赞数
分类专栏： WriteUp
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46274488/article/details/110228456
版权

文章目录


文笔不够只能图来凑

[NCTF2019]Fake XML cookbook

在这里插入图片描述
根据题目xml有关，我觉得是XXE，打开源代码看那么一看
在这里插入图片描述
看到了url：doLogin.php，想访问看看。。。看倒是没得看，倒是爆出了文件路径，猜想flag应该也存储在这个路径中。

在这里插入图片描述
抓个包，然后定义了实体先尝试一下读取flag文件，就……就成功了。
在这里插入图片描述

[NCTF2019]True XML cookbook

前面的都和上一题一样，直接尝试读取flag文件，发现读不了

最低0.47元/天 解锁文章
现代鲁滨逊
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
网络安全--XXE漏洞利用思路
jazzz98的博客
05-19 1862
如今的 web 时代，是一个前后端分离的时代，有人说 MVC 就是前后端分离，但我觉得这种分离的并不彻底，后端还是要尝试去调用渲染类去控制前端的渲染，我所说的前后端分离是，后端 api 只负责接受约定好要传入的数据，然后经过一系列的黑盒运算，将得到结果以 json 格式返回给前端，前端只负责坐享其成，拿到数据json.decode 就行了（这里的后端可以是后台代码，也可以是外部的api 接口，这里的前端可以是传统意义的前端，也可以是后台代码）
从一道题目学习XXE漏洞
蚁景网安学院
03-01 516
本文涉及知识点实操练习：XXE漏洞分析与实践 （通过该实验了解XXE漏洞的基础知识及演示实践。） 0x01.xxe漏洞 XXE漏洞全称XML External Entity Injection即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害。xxe漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。 0x02.xml定
XXE
shawdow_bug的博客
07-30 331
XML XML(External Markup Language)是一种标记，类似于HTML。与HTML的应用场景不同，XML是用于结构化、存储以及传输信息。 <?xml verison="1.0"?> <!--xml版本说明--> <note> <!--根元素开始标签--> <to>George</to> <!--note元素下的子元素--
XXE漏洞与CTF题目
最新发布
m0_62725813的博客
12-09 206
典型的XXE攻击是由XML声明：<?DTD部分(通过特殊的命令去其他文件读取信息)SYSTEMXML部分组成危害：XXE 可以通过dtd去读取，访问其他文件或者网站，类似于ssrf">]> DTD部分</scan> XML部分scan标签设置一个test的实体，这个实体是通过system命令访问1.txt构造payload>//XML声明">]>
CTF中关于XXE(XML外部实体注入)题目两道
生活·代码_这里是青_分享快乐
11-13 1077
题目：UNCTF-Do you like xml? 链接：http://112.74.37.15:8008/ hint：weak password （弱密码） 1、观察后下载图片拖进WINHEX发现提示:flag in flag.php , 进入112.74.37.15:8080/flag.php 发现啥也没有 需要拿下php文件好好看看 2、根据题目hint 尝试登陆 账号密码统...
XXE漏洞详解【内含vulnhub靶场XXE Lab:1详解】
07-30
检测XXE漏洞通常分为白盒和黑盒两种方式： 1. **白盒**：分析源代码，查找可能的XML解析函数，检查是否使用了不安全的配置。 2. **黑盒**：通过发送不同类型的XML数据，观察服务器的响应，判断是否存在XXE漏洞。 **...
XXE - 防御策略-01
09-15
XXE 防御策略 XXE（Xml External Entity）漏洞是一种常见的 XML 解析漏洞，攻击者可以通过构造恶意 XML 文档来读取敏感信息或执行系统命令。为了防御 XXE 漏洞，需要了解其成因和防御策略。 一、XXE 漏洞消亡原因 ...
第五节 XXE漏洞利用 - 任意文件读取 无回显 -01
09-15
XXE 漏洞利用 - 任意文件读取 无回显 XXE（XML External Entity）是一种常见的 Web 应用程序漏洞，攻击者可以通过构造恶意的 XML 文档， trick 服务器将任意文件读取出来，导致敏感信息泄露。在本节中，我们将详细...
5、XXE漏洞pdf资料
10-15
XXE（XML External Entity）漏洞是针对XML解析器的安全漏洞，它发生在XML解析器处理包含外部实体引用的恶意XML输入时。XML（eXtensible Markup Language）是一种用于存储和传输数据的标记语言，它的主要特点是允许...
信息安全_xxe注入应用与拓展.pptx
08-14
【XXE注入详解】 XXE，全称为XML External Entity Injection，是针对XML解析器的一种安全漏洞，它利用XML文档中的外部实体（External Entity）来获取系统敏感信息或执行恶意操作。XML实体允许开发者引用外部资源，...
XXE Lab：1题解
weixin_34314962的博客
11-07 774
思路 题目已经提示是XXE的专项练习，所以，直接找XXE问题. 难度 入门 端口扫描 nmap -sS -A 10.129.10.64 发现HTTP服务、Apache 2.4.27中间件、robots.txt泄漏了目录和文件 80端口检查 其中，/xxe/index.php页面通过xml格式提交用户名和密码，于是，此处即为XXE所在位置。构造如下payload，读取页面源码，获得一不知是flag还...
渗透测试-xxe之CTF考题实验及防御方法
lza20001103的博客
04-29 1510
xxe之CTF考题实验及防御方法
XXE CTF题目
草儿也忧伤的博客
05-14 1856
** XXE CTF题目 **https://www.jianshu.com/p/68d8ae78cc45 直接点链接看吧
一道XXE和SSRF的题目
weixin_33725515的博客
06-22 448
title: 一道XXE漏洞和SSRF结合的题目 date: 2018-01-14 16:47:59 tags: [writeup,ctf] 学校在考试周,ennnn.....搞了校赛 遇到了一道xxe和ssrf结合的题目,感觉挺不错的,简单记录一下 这里只记录下流程,具体的原理这里有几个链接(当时也是复习了一遍 前辈们比我写得好 未知攻焉知防——XXE漏洞攻防 XXE漏洞的简单理解和测试...
XXE攻防——XML外部实体注入
aezwm4109的博客
05-24 2134
转自腾讯安全应急响应中心 一、XML基础知识 XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。 DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。DTD 可以在 XML 文档内声明，也可以外...
记录遇到的有趣的CTF题---simple_api(xxe漏洞)
tothemoon的博客
11-05 2029
这是我参加的一场校内的CTF比赛。大佬们的write up还在整理当中，我就先用我之前做题时的截图做一个简单的复现。write up出来后再查漏补缺。 1.打开网站后除了这个啥也没有，查看源代码也没有提示。 学过python的同学应该会发现这一段字典，但在这里的意思应该是响应错误，但仔细看了源码后也没与发现注入点，这时想到题目名为simple_api。 抓包添加xxe代码后就能跑出flag了。 x...
XXE漏洞及Blind XXE练习
Shinpachi8的博客
12-04 4306
XXE漏洞及Blind XXE实例。 详细说明。
WebGoat 8.0 XXE注入 解题思路
Abracadabra的专栏
09-20 4311
WebGoat 8.0 XXE注入 解题思路 ★ 题目 地址： http://127.0.0.1:8080/WebGoat/start.mvc#lesson/XXE.lesson/2 ★ XXE 注入攻击是什么 XXE 是 XML External Entity的缩写。 XXE注入攻击，发生在一些配置较弱的XML解析器中。XXE攻击可以导致隐私数据泄露、拒绝服务、服务端请求伪造、端口扫描等问题。...
XXE漏洞深入探索：从新手到高手
"XXE（XML External Entity）漏洞是一种安全问题，主要出现在处理XML文档的程序中，允许攻击者通过恶意构造的XML输入来访问服务器的内部资源。本教程将带你从初学者到专家，逐步了解和掌握XXE漏洞的利用方法。" XXE...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值