xxe漏洞原理和案例实验演示

什么是xml?
xml一般指可扩展标记语言
可扩展标记语言,标准通用标记语言的子集,是一种用于标记电子文件使其具有结构性的标记语言。
在电子计算机中,标记指计算机所能理解的信息符号,通过此种标记,计算机之间可以处理包含各种的信息比如文章等。它可以用来标记数据、定义数据类型,是一种允许用户对自己的标记语言进行定义的源语言。 它非常适合万维网传输,提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。是Internet环境中跨平台的、依赖于内容的技术,也是当今处理分布式结构信息的有效工具。
XXE -“xml external entity injection”
既"xml外部实体注入漏洞"。
概括一下就是"攻击者通过向服务器注入指定的xml实体内容,从而让服务器按照指定的配置进行执行,导致问题"
也就是说服务端接收和解析了来自用户端的xml数据,而又没有做严格的安全控制,从而导致xml外部实体注入。
xxe漏洞原理和案例实验演示_第1张图片
(DTD简介)
xxe漏洞原理和案例实验演示_第2张图片
xxe漏洞原理和案例实验演示_第3张图片
xxe漏洞原理和案例实验演示_第4张图片
我们来到pikachu
xxe漏洞原理和案例实验演示_第5张图片
根据上面的思路,我们可以先试试
xxe漏洞原理和案例实验演示_第6张图片
xxe漏洞原理和案例实验演示_第7张图片
发给后端提交以后,这个DTD里面的值就返回了
xxe漏洞原理和案例实验演示_第8张图片
我们可以再试试这个来读取passwd来试试
xxe漏洞原理和案例实验演示_第9张图片
这样敏感数据就被读取出来了

你可能感兴趣的:(xxe漏洞原理和案例实验演示)