xxe

Web安全：XEE 实体注入

该笔记仅用于信息防御技术教学，请勿用于其他用途目录一、什么是XXE?二、XXE原理:一、什么是XXE?
无在无不在·2020-09-13 03:08

8.bwapp亲测xxe漏洞

这几天在学习XXE漏洞，这里用靶机bwapp来练习一下这个漏洞，重在学习xxe漏洞主要针对webservice危险的引用的外部实体并且未对外部实体进行敏感字符的过滤，从而可以造成命令执行，目录遍历等．首先存在漏洞的
weixin_30725315·2020-09-13 03:46

学习日志9：XXE+php://filter绕过WAF读内网文件

摘自freebuf出处：https://www.freebuf.com/vuls/211822.html基础知识：1.php://filter是php中独有的一个协议，可以作为一个中间流来处理其他流，可以进行任意文件的读取；使用不同的参数可以达到不同的目的和效果：其中resource=，指定了要筛选过滤的数据流2.php的data://text/plain;base64，数据流封装器，代表之后的数
丫郎酸·2020-09-13 00:48

WebGoat靶场搭建及通关记录(一)

GeneralHTTPBasicsHTTPProxies2.InjectionFlawsSQLInjection(advanced)SQLInjectionSQLInjection(mitigation)XXE3
m0re·2020-09-12 11:14

XXE注入漏洞

目录什么是XML什么是DTD什么是实体system与public什么是XXE定义漏洞原理xxe漏洞与ssrf漏洞演示执行原理可利用的协议filehttp……base64什么是XML要想清楚XXE漏洞，首先要了解
ihszg·2020-09-10 22:09

谈谈微信支付曝出的漏洞

一、背景昨天（2018-07-04）微信支付的SDK曝出重大漏洞（XXE漏洞），通过该漏洞，攻击者可以获取服务器中目录结构、文件内容，如代码、各种私钥等。
weixin_30739595·2020-09-10 19:51

黑夜的猎杀-盲打XXE

在进入正文前，我想告诉大家，文章没有涉及任何XXE攻击的任何新技巧，这只是我遇到的一个案例，我只想分享给大家。
weixin_30699955·2020-09-10 19:16

微信支付 SDK 惊现重大漏洞：黑客可 0 元购买任意商品

fulldisclosure/2018/Jul/3、https://twitter.com/codeshtool移动支付每年激增到9万亿美元，已经改变了人们的购物方式，但昨日，互联网却爆出微信支付官方SDK存在严重的XXE
代码技巧·2020-09-10 17:00

网络安全-XXE（XML外部实体注入）原理、攻击及防御

目录前言简介原理攻击防御禁用外部实体过滤用户提交的XML数据前言XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。博主之前用xml也没有使用过DTD，因为是可选的嘛，这里就简单说一下，学过的跳过。DTD（文档类型定义）的作用是定义XML文档的合法构建模块。DTD可以在XML文档内声明，也可以外部引用。内部声明DTD引用外部DTD文档内部声明实体引用外部实体调用方式:&实体名称;简
lady_killer9·2020-09-10 14:39

Web安全 | XXE xml外部实体注入漏洞

Web安全|XXExml外部实体注入漏洞本篇主要介绍一下关于xxe漏洞的基础知识，以及一些利用和危害。
明小天·2020-09-09 16:38

Spring Boot Actuator 漏洞利用

而由于对这些端点的错误配置，就有可能导致一些系统信息泄露、XXE、甚至是RCE等安全问题。漏洞发现通常通过两个位置判断网站是否使用了SpringBoot框架。1、网站图片文件是一个绿色的树叶。
Tide_诺言·2020-09-01 10:54

XML外部实体注入（XEE）的原理和应用

文章目录XXE注入一、XML简介二、XML实体三、CTF中XEE攻击XXE注入XXE注入全称是xmlexternalentity注入，也就是xml外部实体注入。
iczfy585·2020-08-27 22:22

XXE读取文件 Geek10th

爆破完成，看到了知道了文件名和位置之后，加上提示的xxe，接下来就是重头戏了。在参考了大佬的文章之后，我对
逗逼如风·2020-08-26 08:41

ctf训练一周总结

是时候解释一下一周没有更新的原因了今天4月7日，过去的一周里面，我大概做了以下事情sql注入总结，包括数字型字符型布尔型盲注总结docker成功地在虚拟机中搭建了环境，试水了两道web题，一题没看出来是.git源码泄露，另外一题是xxe
萍水间人·2020-08-26 07:49

XXE漏洞攻防

XXE漏洞1.XXE概述XXE（XMLExternalEntityInjection）即XML外部实体注入。漏洞是在对非安全的外部实体数据进行处理时引发的安全问题。
god_zZz·2020-08-25 17:20

XXE漏洞学习笔记

导读1.XML基础知识2.DTD基础知识-定义-内外DTD声明-优势3.DTD基础知识-元素4.DTD基础知识-实体-外部实体支持协议5.XXE漏洞原理-有回显和无回显漏洞利用6.其他危害-payload7
dbhri9673·2020-08-25 17:59

JavaMelody组件XXE漏洞（CVE-2018-15531）漏洞分析报告

该组件低版本存在一个XXE漏洞——CVE-2018-15531，由于该组件的启动特性，攻击者无需特定的权限即可发起攻击。
dbhri9673·2020-08-25 17:25

XXE(xml外部实体攻击)

1、概念XXE（XMLExternalEntity）是指xml外部实体攻击漏洞。XML外部实体攻击是针对解析XML输入的应用程序的一种攻击。
HoYim·2020-08-25 17:23

Poc初探之XXE

用bwapp的例子简单回顾下xxe漏洞：通过在xml外部实体附带非法参数，实现非法操作。如下图：POC编写思路：针对漏洞页面，发送带相应非法参数的包。
aojiang1365·2020-08-25 17:46

浅入深出理解XXE漏洞

一、XXE是什么XMLExternalEntityInjection外部实体注入,该漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载任意外部文件，造成文件读取、命令执行（有点极端）
顽童先生·2020-08-25 17:06

XXE注入

0x01贴出源地址BlindXXE详解与GoogleCTF一道题分析0x02贴出常用payload一、BlindXXE1、外部DTD（1）先在自己的服务器中加入下列DTD文件xml.dtd">%start;然后请求的数据为下面(用php协议将发送的数据编码为base64)%remote;%send;]>12342、本地DTD文件ubuntu系统自带的/usr/share/yelp/dtd/docb
HyyMbb·2020-08-25 17:32

XXE再探

0x00关于DTD：DTD分为内部和外部，其中：内部DTD声明方法：外部DTD声明方法：一个内部DTD的例子：0x01XML实体：关于XML实体：实体是XML的存储单元。XML实体分为一般实体（类似于常量）和参数实体。其中一般实体分为预定义实体和自定义实体。实体的声明是放在DTD当中的，而实体最后的显示还是在XML标签当中，如下：（就相当于变量，在DTD中定义一个变量，在XML文档中使用变量）而X
csdnPM250·2020-08-25 17:16

XML外部实体（XXE）注入详解

###XML与xxe注入基础知识1.XMl定义XML由3个部分构成，它们分别是：文档类型定义（DocumentTypeDefinition，DTD），即XML的布局语言；可扩展的样式语言（ExtensibleStyleLanguage
weixin_30326745·2020-08-25 17:16

XXE（外部实体注入攻击）

XXE（XMLExternalEntity外部实体注入）DTD（DocumentTypeDefinition文档类型定义）用来为XML文档定义语义约束，可以嵌入在XML文档中（内部声明）也可以独立的放在一个文件中
weixin_33756418·2020-08-25 17:41

ref:浅谈XXE漏洞攻击与防御

ref:https://thief.one/2017/06/20/1/浅谈XXE漏洞攻击与防御发表于2017-06-20|分类于web安全|热度3189℃你会挽着我的衣袖，我会把手揣进裤兜之前在参加一场
weixin_30762087·2020-08-25 17:22

CTF php代码审计 strpos()函数漏洞 XXE漏洞xinclude()

0x00第一次尝试这个题是别人一个月前问我的一个题，当时忙，看了下，发现好像不会，就先放着了。。。0x01第二次尝试这个题之前弄了好一会，都没搞出来，一直没时间，今天下定决定把它做出来！！！(尼玛，我最后花了半个月)loginViaXml($user,$pass);}publicfunctionloginViaXml($user,$pass){if((!strpos($user,''))&&(!s
baynk·2020-08-25 17:15

XXE与XXE漏洞学习

xxe漏洞检测思路从PHP代码层面上xxe漏洞的危害危害1：读取任意文件有回显的情况无回显的情况危害2：命令执行（装有expect扩展）危害3：内网探测/SSRF危害4：拒绝服务攻击XXE漏洞修复与防御一道
Mr. Anonymous·2020-08-25 17:35

XXE(XML外部实体注入)漏洞

如果你的应用是通过用户上传处理XML文件或POST请求（例如将SAML用于单点登录服务甚至是RSS）的，那么你很有可能会受到XXE的攻击。
2ed·2020-08-25 17:57

XXE漏洞详解

XML从XXE的明明也可以看得出来，XML是我们必须了解的东西。XML指可扩展标记语言，用于标记电子文件使其具有结构性。通俗来说，xml就是客户端向服务器端
千^里·2020-08-25 17:25

XXE实体注入

1.XXE原理XML被设计用来传输和存储数据。所以在网站中可以使用XML来读取或者写入数据。如果用户可以控制XML代码，既可以利用XML读取任意文件。
浅浅的交响·2020-08-25 17:24

XXE（xml外部实体注入）

XXE(XMLExternalEntity)是指xml外部实体攻击漏洞XML外部实体攻击是针对解析XML输入的应用程序的一种攻击。
崔崔是我·2020-08-25 17:44

XXE

1.XML什么是xml，他是用来干什么的？xml（xtensiblemarkuplanguage）,可扩展标记语言，其实就是一种传输文本的格式，他的格式和html的格式非常相似，通常是来做配置文件和存贮数据。而后来出现了json，json速度更快而被广泛使用xml的内部实体和外部实体的格式是什么样子的如图就是一个典型的xml文本：格式:xml声明:定义文档内部或者外部实体格式：DOCTYPE用来声
frinck·2020-08-25 17:03

web安全--Xml外部实体注入漏洞(XXE)与防护

Xml外部实体注入(XXE)除了json外，xml也是一种常用的数据传输格式。对xml的解析有以下几种常用的方式：DOM，SAX，JDOM，DOM4J，StAX等。
fabao007·2020-08-25 17:30

【XXE技巧拓展】————3、XML实体注入漏洞攻与防

目录XML基础XML实体注入漏洞的几种姿势防御XML实体注入漏洞XML基础XML是一种用于标记电子文件使其具有结构性的标记语言，用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。XML技术基础我在这里将不在详细解读，有兴趣的小伙伴可以通过如下几个链接去学习XM
FLy_鹏程万里·2020-08-25 17:34

XXE（xml外部实体注入漏洞）

实验内容介绍XXE漏洞的触发方式和利用方法，简单介绍XXE漏洞的修复。
weixin_30487701·2020-08-25 17:29

BUUCTF REAL

flag好像都在系统环境变量中，phpinfo中就能看见，，，，这里就不注重解释过程了，主要就是记录一下漏洞以及payload，，，，[PHP]XXElibxml2.9.0以后，默认不解析外部实体，导致XXE
A_dmins·2020-08-25 17:55

XXE-实体注入

XXE介绍XXE即外部实体，从安全角度理解为XML外部实体注入攻击XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。
keepb1ue·2020-08-25 17:15

XXE外部实体注入漏洞的测试和修复——Java

测试过程：代码检测时发现存在XXE问题，可通过自行改造的xml内容，请求存在XXE问题的接口，测试该漏洞。
DangerShi·2020-08-25 17:40

JAXB血案之 XML外部实体注入漏洞(XXE)

JAXB血案之XML外部实体注入漏洞(XXE)开始正文之前，我们的口号是：代码很有趣，安全很重要。什么？你问我累了怎么办？自然是看美女了，送福利哈哈。
southwind0·2020-08-25 17:39

【XXE技巧拓展】————4、XML实体注入漏洞的利用与学习

前言XXEInjection即XMLExternalEntityInjection,也就是XML外部实体注入攻击.漏洞是在对非安全的外部实体数据进行处理时引发的安全问题.在XML1.0标准里,XML文档结构里定义了实体(entity)这个概念.实体可以通过预定义在文档中调用,实体的标识符可访问本地或远程内容.如果在这个过程中引入了”污染”源,在对XML文档处理后则可能导致信息泄漏等安全问题。漏洞利
FLy_鹏程万里·2020-08-25 17:38

XXE实体注入漏洞详解

本文转自行云博客https://www.xy586.top/文章目录什么是XXE原理XXE漏洞带来的的危害什么是XML寻找XXEXXE的防御示例什么是XXEXMLExternalEntity即外部实体，
行云blog·2020-08-25 17:05

XXE漏洞小结

中午睡醒，被李老师急促的叫醒。赶紧看一下群里智深发的，看下我们支付有没有这个问题。听到这个声音，慌得一笔。赶紧看看：https://mp.weixin.qq.com/s?__biz=MzIyMDEzMTA2MQ==&mid=2651149767&idx=1&sn=8ccb13feeaa5f24764b20fd83e9fd869&chksm=8c214e5dbb56c74b980b111d4ced5
大坨-童鞋·2020-08-25 16:20

【Web常见漏洞篇】XXE 回不回显漏洞，从入门到放弃？

当你的才华还撑不起你的野心时那你就应该静下心来学习目录【Web常见漏洞篇】XXE回显或不回显漏洞0x01XXE靶场环境搭建0x02XXE产生的原理0x03啥是XXE？
Agan '·2020-08-25 15:45

xxe漏洞详解（xml外部实体注入）

前置知识XML：XML使用DTD(documenttypedefinition)文档类型定义来组织数据，格式统一，跨平台和语言，早已成为业界公认的标准。XML是标准通用标记语言(SGML)的子集，非常适合Web传输。XML提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。json：JavaScaript对象表示法(JavaScriptObjectNotation)，是存储和交换文本信息
Candyys·2020-08-25 15:39

XML防止XXE攻击

描述https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Processing解决方案：https://www.owasp.org/index.php
第三眼的思绪·2020-08-25 15:02

关于dom4j的微信XXE实体注入错误，使用DocumentHelper进行解析的漏洞修补

7月4日微信发来通知说存在XML实体注入漏洞，请修改。由于自己的后台采取的dom4j的包，而且当时业务也只是对微信传入的xml进行解析处理，所以就直接使用DocumentHelper的parseText的方式进行解析，而没有使用SAXReader的方式进行，在网上搜罗了很多资料，发现处理方式都无法使用。最后自己在看了dom4j的源代码后，发现DocumentHelper的parseText方法的实
wtbapi·2020-08-25 15:26

web渗透--25--XXE外部实体注入

1、漏洞描述：XXEInjection即XMLExternalEntityInjection，也就是XML外部实体注入攻击。漏洞是在对非安全的外部实体数据进行处理时引发的安全问题。在XML1.0标准里，XML文档结构里定义了实体(entity)这个概念。实体可以通过预定义在文档中调用，实体的标识符可访问本地或远程内容。如果在这个过程中引入了“污染”源，在对XML文档处理后则可能导致信息泄漏等安全问
随 亦·2020-08-25 15:26

网络安全从入门到精通（第九章-4）XXE - 实体注入

本文内容：~什么是XXE~XML结构~XXE原理~实战注意每日一句：脚本小子是走不远的，代码能力是成为大佬的必须当然不一定要写出完整系统，但是一定要能看懂代码一、什么是XXE1，本质简单的说，就是XML
划水的小白白·2020-08-25 15:22

网络安全零基础入门（第九章-4）XXE-实体注入

每日一句：仅做脚本小子是不行的，必须具有一定的代码能力（能看懂代码就行）本篇内容：什么是XXEXML结构XXE原理实战注意一、什么是XXE１．本质简单的说，就是XML外部实体注入攻击分解一下注入：将用户输入的内容当作代码执行
网安世界·2020-08-25 15:22

XXE外部实体注入漏洞之——基础知识

基础知识目录基础知识实验环境定义XML文档结构DTD的基础知识基本的PAYLOAD结构使用DTD实体的攻击方式DTD实体声明内部实体声明外部实体声明参数实体声明引用公共实体实体类别介绍举例东西有点多，还需要消化消化，概念有些混淆了，基础构造payload和外部文件差不多理解了,其他原理还是要再学习哈实验环境libxml2.9.1及以后，默认不解析外部实体。测试的时候windows下使用的是php5
温柔小薛·2020-08-25 15:51
上一页 3 4 5 6 7 8 9 10 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他