python解析外部实体_XXE外部实体注入漏洞

XML被设计为传输和存储数据，XML文档结构包括XML声明、DTD文档类型定义(可选)、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。XXE漏洞全称XML External Entity Injection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。

与html区别：

Xml:被设计为传输和存储数据，其焦点是数据的内容

Html:是为了显示数据，焦点是外观

Html旨在显示信息，xml旨在传输信息。

Xml典型代码：

]]]>

Dave

Tom

各脚本支持的协议；

存在xxe的情况下：

#玩法-读文件

]>

&xxe; &xxe;

//xxe为变量，读取test.txt

//打印出来

用file协议读指定路径的文件

显示结果：

#玩法-内网探针或攻击内网应用(触发漏洞地址)内网探针

]>

&rabbit;

#引入外部实体dtd,dtd就是xml的后缀，识别为xml格式

如果设置了禁止外部实体引用，将会失效

%file;