xxe

Spring Boot Actuator未授权访问漏洞利用

而由于对这些端点的错误配置，就有可能导致一些系统信息泄露、XXE、甚至是RCE等安全问题。二、端点描述官方文档对每个端点的功能进行了描述。路径描述/autoconfig提供了一份自
Big&Bird·2022-09-29 03:00

网络安全学习过程

操作系统计算机网络shellHTML/CSSJavaScriptPHP入门MySQL数据库Python二.渗透阶段SQL注入的渗透和防御XSS相关渗透和防御上传验证渗透与防御文件包含渗透与防御CSRF渗透与防御XXE
洛羽~·2022-09-22 13:13

Web安全工程师面试（SQL、XSS、CSRF、SSRF、XXE）

文章目录一、Web访问过程分析二、SQL注入1、SQL注入的危害2、SQL注入思路3、SQL注入的类型4、SQL注入防护三、XSS跨站脚本1、反射型XSS漏洞原理2、存储型XSS漏洞原理3、基于DOM的XSS4、XSS未给出具体位置的解决5、DOM型和XSS自动化测试或人工测试四、CSRF跨站请求伪造1、CSRF与XSS区别2、CSRF的危害3、CSRF的防御4、CSRF护网面试五、SSRF服务器
Hardworking666·2022-09-21 09:35

【web-渗透测试方法】(15.7)测试功能方面的输入漏洞

1.2、测试SMTP注入1.3、测试本地代码漏洞测试缓冲区溢出测试整数漏洞测试格式化字符串漏洞1.4、测试SOAP注入1.5、测试LDAP注入1.6、测试XPath注入1.7、测试后端请求注入1.8、测试XXE
黑色地带(崛起)·2022-09-07 08:04

渗透测试-Web常见漏洞描述及修复建议

Web常见漏洞描述及修复建议文章目录Web常见漏洞描述及修复建议1.SQL注入2.XSS3.XXE5.SSRF6.任意命令/代码执行7.任意文件上传8.目录穿越/目录遍历9.文件包含10.弱口令11.暴力破解
炫彩@之星·2022-09-06 16:15

XXE漏洞-XML 外部实体注入

XXE漏洞-XML外部实体注入xxe介绍xml基础知识漏洞复现BlindXXExxe介绍Xml外部实体注入漏洞（XMLExternalEntityInjection）简称XXE，XXE漏洞发生在应用程序解析
five~~~·2022-08-20 18:55

Pikachu漏洞靶场 XXE（xml外部实体注入漏洞）

XXE（xml外部实体注入漏洞）概述XXE-“xmlexternalentityinjection”既"xml外部实体注入漏洞"。
CVE-柠檬i·2022-08-20 18:54

XML外部实体注入；XXE漏洞；XXE有回显注入；XXE无回显注入；Blind XXE；绕过方式总结

漏洞原理XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可以加载恶意外部文件，造成文件读取、命令执行、内网端口扫描。
2021！·2022-08-20 18:53

渗透测试-XXE XML外部实体注入 漏洞

XXEXML外部实体注入XXE(XMLExternalEntityInjection)XML外部实体注入XML是一种类似于HTML（超文本标记语言）的可扩展标记语言用于标记电子文件使其具有结构性的标记语言
amingMM·2022-08-20 18:23

XXE—XML外部实体注入

XXE0x01、XML什么是XML？
Shadow丶S·2022-08-20 18:23

web渗透测试----23、XML外部实体注入--（1）XXE原理

二、XXE1、原理2、危害三、攻击类型（有回显）1、文件读取2、利用XXE执行SSRF攻击3、拒绝服务攻击四、盲带外XEE（BlindOOBXXE）1、RCE2、XInclude3、端口扫描4、通过修改内容类型进行
七天啊·2022-08-20 18:53

常见的Web漏洞——XXE（外部实体注入）

XML和DTD基础XML是可扩展性标记语言，类似HTML的标记语言，但标签是自定义的。DTD是文档类型定义，用来为XML文档定义语义约束，可以在xml文件中声明，也可以在外部引用。XML文件结构:DTD部分（可选）Test支持的协议上图是默认支持协议，还可以支持其他，如PHP支持的扩展协议有DTD引用和实体声明DTD内部声明：DTD外部引用：DTD内部实体声明：DTD外部实体声明：]>&name;
江左盟宗主·2022-08-20 18:52

XXE(XML外部实体注入)漏洞分析——pikachu靶场复现

XML基础XML是一种非常流利的标记语言，在解析外部实体的过程中，XML解析器可以根据URL中指定的方案（协议）来查询各种网络协议和服务（DNS，FTP，HTTP，SMB等）。外部实体对于在文档中创建动态引用非常有用，这样对引用资源所做的任何更改都会在文档中自动更新。但是，在处理外部实体时，可以针对应用程序启动许多攻击。这些攻击包括泄露本地系统文件，这些文件可能包含密码和私人用户数据等敏感信息，或
Never say die _·2022-08-20 18:52

第39天-WEB 漏洞-XXE&XML 之利用检测绕过全解

文章目录思维导图基础知识XMLXXEXML与HTML的主要差异DTDDTD实体XXE漏洞修复与防御方案-php,java,python-过滤及禁用方案1-禁用外部实体方案2-过滤用户提交的XML数据涉及案例
IsecNoob·2022-08-20 18:20

XXE漏洞（XML外部实体注入漏洞）

XXE漏洞（XML外部实体注入漏洞）一、XML基础知识XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。
Freedomua·2022-08-20 18:50

XXE（XML外部实体注入）漏洞

一、XML介绍定义XML全称：可扩展标记语言（ExtensibleMarkupLanguage）。XML是独立于软件和硬件的信息传输工具，它把数据从HTML中分离。XML语言没有预定义的标签，需要作者定义自己的标签和自己的文档结构。XML被设计用来传输和存储数据，HTML被设计用来显示数据。DTD：文档类型定义部分定义了XML文档的标签以及元素属性。上图DTD就定义了XML的根元素为note，然后
弥补之途·2022-08-20 18:50

XXE漏洞——xml外部实体注入XXE

XXE：XXE全称XMLExternalEntityInjection，也就是XML外部实体注入攻击，漏洞是对非安全的外部实体数据进行处理时引发的安全问题。要了解XXE，就必须懂得XML的一些规则。
IT—INTEREST_挪吒·2022-08-20 18:50

XXE漏洞中DOCTYPE、ENTITY傻傻分不清-WEB安全基础入门—XML外部实体注入(XXE)

欢迎关注订阅专栏！WEB安全系列包括如下三个专栏：《WEB安全基础-服务器端漏洞》《WEB安全基础-客户端漏洞》《WEB安全高级-综合利用》知识点全面细致，逻辑清晰、结合实战，并配有大量练习靶场，让你读一篇、练一篇，掌握一篇，在学习路上事半功倍，少走弯路！欢迎关注订阅专栏！专栏文章追求对知识点的全面总结，逻辑严密，方便学习掌握。力求做到看完一篇文章，掌握一类漏洞知识。让读者简洁高效的掌握WEB安全
Eason_LYC·2022-08-20 18:19

[NCTF2019]True XML cookbook-1|XXE漏洞

1、打开题目之后和做的上一道：https://www.cnblogs.com/upfine/p/16534940.html题目界面一样，查看源代码等未发现有用信息，界面如下：2、那就先按原来那道题的payload进行测试，payload和结果如下：payload：<?xmlversion="
upfine·2022-08-09 23:00

【网络安全】JAVA代码审计—— XXE外部实体注入

一、WEB安全部分想要了解XXE，在那之前需要了解XML的相关基础二、XML基础2.1XML语法所有的XML元素都必须有一个关闭标签XML标签对大小写敏感XML必须正确嵌套XML文档必须有根元素XML属性值必须加引号实体引用
IT老涵·2022-08-05 13:20

[NCTF2019]Fake XML cookbook-1|XXE漏洞|XXE信息介绍

1、打开之后显示如图所示：2、根据题目名字就能看出来和xml有关，和xml有关的那就是注入，brup抓包看下数据包，结果如下：3、查看post数据，确实很像xml实体注入，那就进行尝试以下，将post数据修改为下面的数据<!DOCTYPEllw
upfine·2022-07-30 15:00

XXE漏洞示例讲解

XXE是一个注入漏洞。注入的是外部实体。重点来了：DTD实体实体是用于定义引用普通文本或特殊字符的快捷方式的变量。DTD实体区分内部实体和外部实体。详情请查看：毛毛虫的小小蜡笔
·2022-07-26 11:50

【Web漏洞探索】外部实体注入漏洞

参数声明内网端口扫描远程代码执行读取任意文件无回显Out-ofBand检测利用DNSLog检测拒绝服务四、修复以及预防禁用外部实体的方法过滤用户的输入禁用自定义的DTD五、附录一、什么是外部实体注入漏洞外部实体注入漏洞XXE
byzf·2022-07-23 14:54

网络安全—综合渗透测试-CVE-2017-12629-Apache Solr远程代码执行

此次7.1.0之前版本总共爆出两个漏洞：XML实体扩展漏洞（XXE）和远程命令执行漏洞（RCE），二者可以连接成利用链，编号均为CVE-2017-12629
Beluga·2022-07-22 12:14

XXE外部实体注入漏洞总结

微信订餐小程序课程视频https://edu.csdn.net/course/detail/36074Python实战量化交易理财系统https://edu.csdn.net/course/detail/35475XXE
www_xuhss_com·2022-06-17 13:37

39：WEB漏洞-XXE&XML之利用检测绕过全解

参考博客：https://www.cnblogs.com/zhengna/p/15740341.html本文为作者本人笔记和复现，侵删文章目录[39：WEB漏洞-XXE&XML之利用检测绕过全解]**知识点
明月清风~~·2022-06-12 20:08

2022渗透测试面试大全（过来人的全部家底）

目录渗透测试流程业务逻辑漏洞挖到过的漏洞sql注入跨站脚本攻击XSSCSRF跨站请求伪造SSRF服务器端请求伪造文件上传文件解析XXE即xml外部实体注入漏洞XSS和CSRF的区别CSRF和SSRF的区别
保持微笑-泽·2022-05-13 12:00

渗透测试-xxe之CTF考题实验及防御方法

xxe之CTF考题实验及防御方法文章目录xxe之CTF考题实验及防御方法前言一、什么是xxe1.定义2.XML语法结构在这里插入图片二、xxe之CTF考题及防御方法1.xxe之CTF考题演示2.xxe防御方法总结前言一
炫彩@之星·2022-05-05 18:38

如何限制XXE解析？

在我的上一篇文章中，我们明白了如何配置XML解析器来实现全面禁用XXE声明和扩展。这是一个简单但严格的解决方案，可能很难在您的项目中实现。所以今天，我们将讨论如何精确地限制XXE。
·2022-04-27 22:31

微信支付 SDK 惊现重大漏洞：黑客可 0 元购买任意商品

移动支付每年激增到9万亿美元，已经改变了人们的购物方式，但昨日，互联网却爆出微信支付官方SDK存在严重的XXE漏洞，可导致商家服务器被入侵。
水木蓝绿·2022-04-26 09:33

Apache Solr 远程命令执行漏洞（CVE-2017-12629）

此次7.1.0之前版本总共爆出两个漏洞：XML实体扩展漏洞（XXE）和远程命令执行漏洞（RCE），二者可以连接成利用链，编号均为C
维梓梓·2022-04-14 21:06

渗透测试面试总结【WEB篇】

SSRF原理SSRF危害SSRF防御4.文件上传文件上传分类文件上传的突破5.XXEXXE的原理XXE的分类XXE有哪些引入方式遇到XXE的盲注怎么办6.CSRF和XSS和XXE有什么区别，以及修复方式
世界尽头与你·2022-04-10 07:25

buuctf-[NCTF2019]Fake XML cookbook(小宇特详解)

先抓包看一下这里的X-Requested-With提示了XML然后发送到了doLogin.php这里先讲一下XML的相关知识XXE的危害和SSRF的有点像XXE=>XML外部实体注入（被各种后端脚本调用
小宇特详解·2022-02-21 18:34

ctfshow XXE web373-web378 wp

文章目录web373web374-376web377web378web373XXE(XMLExternalEntityInjection)全称为XML外部实体注入。
是Mumuzi·2022-02-21 13:54

XXE外部实体注入漏洞总结

XXE漏洞原理XXE是xml外部实体注入漏洞，应用程序解析xml输入时，没有禁止外部实体的加载，导致可加载恶意外部文件和代码，造成任意文件读取，命令执行，内网端口扫描攻击内网网站等危害。
三亿人·2022-02-20 12:00

XXE外部实体注入漏洞总结

XXE漏洞原理XXE是xml外部实体注入漏洞，应用程序解析xml输入时，没有禁止外部实体的加载，导致可加载恶意外部文件和代码，造成任意文件读取，命令执行，内网端口扫描攻击内网网站等危害。
三亿人·2022-02-20 12:00

XXE

之前做过一些XXE的笔记··但没有图不好表达直接下链接吧http://blog.csdn.net/u011721501/article/details/43775691
查无此人asdasd·2022-02-16 21:06

95.网络安全渗透测试—[常规漏洞挖掘与利用篇11]—[XXE(XML外部实体)注入漏洞与测试]

文章目录一、XXE注入1、相关概念（1）XXE定义：（2）漏洞版本：（3）相关概念：2、漏洞示例：`有回显的XXE注入`（1）靶机环境：本地的phpstudy-`php5.4.5`（2）漏洞页面源码：`
qwsn·2022-02-05 15:41

渗透自学（三）SQL注入（一）

第十一天（web漏洞基础）常见：SQL注入、文件上传、XSS跨站、文件包含、反序列化、代码执行、逻辑安全、未授权访问其他：CSRF、SSRF、目录遍历、文件读取、文件下载、命令执行、XXE安全等…高危（
ecnOXong·2022-02-04 16:01

常见web漏洞------XXE

目录什么是XXE漏洞Xxe漏洞形成原因：防御：危害：下什么是XMLXML文档格式：第一部分：声明第二部分：DTD（文档类型定义）第三部分：文档的元素DTD部分Xxe漏洞发生地点什么是XXE漏洞XXE漏洞全称外部实体注入漏洞
_PowerShell·2021-11-21 12:00

网络安全：SSRF+XXE漏洞挖掘笔记

声明本文仅供学习参考，其中涉及的一切资源均来源于网络，请勿用于任何非法行为，否则您将自行承担相应后果一、Server-siderequestforgery(SSRF)01、BasicSSRFagainstthelocalserver描述该实验室具有库存检查功能，可从内部系统获取数据。为了解决实验室，更改股票检查URL以访问管理界面http://localhost/admin并删除用户carlos。
kali_Ma·2021-10-23 16:34

网络安全-常见面试题（Web、渗透测试、密码学、Linux等）

目录WEB安全OWASPTop10（2017）Injection-注入攻击BrokenAuthentication-失效的身份认证SensitiveDataExposure-敏感数据泄露XXE-XML外部实体
lady_killer9·2021-09-21 11:29

安全渗透学习- Pikachu（XXE）

XXE（XMLExternalEntityInjection)XML外部实体注入与SQL注入相对应，XXE就是在可以解析XML的地方（比如一个输入框等处）只要可以解析XML语言的代码就可以，在这种地方提交
重启艺术大师·2021-09-12 17:44

WEB 漏洞-XXE&XML 之利用检测绕过

WEB漏洞-XXE&XML之利用检测绕过XXE&XMLDTD内部的DOCTYPE声明外部DOCTYPE声明内部实体声明外部实体声明为什么使用DTDpikachu靶场xml数据传输测试-回显,玩法,协议,
硫酸超·2021-08-29 12:23

[ctf web]XXE通过DTD读取文件+XML和DTD基础语法（以[ctfshow]web_ak4观心和[NCTF2019]Fake XML cookbook为例）

XML基础XML文件可以分为三部分：XML声明DTD文档定义类型。文档元素根元素foo，子元素note，属性categoryXML语法XML被设计为传输和存储数据基本语法：-所有XML元素都须有关闭标签。-XML标签对大小写敏感。-XML必须正确地嵌套。-XML文档必须有根元素。-XML的属性值须加引号。预定义的实体引用>大于&&和号’’单引号""引号注释DTD文档类型定义DTD可定义合法的XML
shu天·2021-08-23 11:14

XXE&XML之利用检测绕过

XXEXXE漏洞全称XMLExternalEntityInjection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取
0000FF:)·2021-08-10 11:19

WEB漏洞-XXE&XML之利用检测绕过

免责声明：本内容仅为【小迪安全-web渗透测试】的学习笔记，仅用于技术研究，禁止使用文章中的技术进行非法行为，如利用文章中技术进行非法行为造成的后果与本文作者无关。什么是XML？参考文档XML被设计为传输和存储数据，XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。XML与HTML对比XML被设计为传输
Rnan-prince·2021-07-28 19:46

XXE漏洞知识整理

XXE-"xmlexternalentityinjection"既"xml外部实体注入漏洞"攻击者可以注入XML实体内容，并由服务器解析执行，从而引发问题。该漏洞通常被用来读取服务器本地文件。
nohands_noob·2021-06-10 16:19

xxe漏洞检测及代码执行过程

2019-05-211前言对于xxe漏洞可能是自己挖洞时间太短，真是没用遇到过啊！都是靶机或者ctf遇到的。写下文章记录下来。
_Holy_·2021-06-07 22:37

XXE漏洞笔记

ENTITY就可实现如同占位符的作用，例如：]>&xxe;此处&xee所要显示的内容即由!ENTITYxee标签决定，在有回显的情况下，该服务器的/etc/passwd文件就会被泄露。
gambr0·2021-06-05 08:51
上一页 2 3 4 5 6 7 8 9 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他