xxe

xxe(xml外部实体注入)

XXE(xml外部实体注入漏洞)xml实体分为4种，分别是内部实体、参数实体、预定义实体和外部实体内部实体：在DTD或内部子集（即文档中语句的一部分）中声明，在文档中用作引用。
weixin_30653097·2020-08-25 15:44

xxe外部实体注入

攻击者可以上传有漏洞的xml或者可以在原网站的xml文档中添加恶意代码，通过恶意代码或利用上传的xml中的漏洞来对网站服务器进行攻击，这种漏洞叫xxe外部实体注入防范措施：1、尽可能的使用简单的数据格式
轩凌云·2020-08-25 15:31

XML注入

实体注入：XXE,内部实体注入；其实就是引用，比如引用内网端口，SSRF.搜索内网文件等内部实体互相引用，可能会DOS攻击。疯狂占用服务器的资源DOS攻击就是指的占用服务器资源。导致正常业务没法动了。
小公子三木君·2020-08-25 15:56

关于XML解析存在的安全问题指引

最近一段时间被曝出的微信支付的XML解析存在的安全问题，主要问题是XML外部实体注入漏洞(XMLExternalEntityInjection，简称XXE)，该安全问题是由XML组件默认没有禁用外部实体引用导致
蒋固金·2020-08-25 15:20

XML和XXE基础

XML简介XML被设计用来传输和存储数据。HTML被设计用来显示数据。XML语法所有XML都必须要有关闭标签。this'snoteexample所有XML的标签对大小写敏感XML标签对大小写敏感。在XML中，标签与标签是不同的。必须使用相同的大小写来编写打开标签和关闭标签这是错误的。这是正确的。XML的属性值必须加引号在XML中，5个实体引用来代替符号：实体引用符号中文解释&it＜小于号>＞大
alpha302·2020-08-25 15:18

什么是XXE漏洞

漏洞解释XML外部实体注入(XMLExternalEntity)简称XXE漏洞,XML用于标记电子文件使其具体结构性的标记语言,可以用来标记数据,定义数据类型,是一种允许用户对自己的标记语言进行定义的源语言
Ping_Pig·2020-08-25 15:07

XXE(外部实体注入漏洞)

https://blog.csdn.net/zhangxing52077/article/details/809327301.场景还原近日，微信发来警告通知，告知平台微信支付可能存在XXE(外部实体注入漏洞
dinghuan2011·2020-08-25 15:57

xxe外部实体注入漏洞

XXE原理攻击者通过干扰应用程序对XML数据的处理，从而实现读取应用程序服务器文件系统中的文件，并与应用程序本身可以访问到的任何后端或外部系统进行交互的一种Web安全漏洞。
Candyys·2020-08-25 15:25

XXE漏洞

文章目录XML基础简单介绍基本语法XXE简单介绍攻击危害防御方案XML基础简单介绍XML指可扩展标记语言（eXtensibleMarkupLanguage），是一种用于标记电子文件使其具有结构性的标记语言
「已注销」·2020-08-25 07:43

PHP环境 XML外部实体注入漏洞（XXE）

PHP环境XML外部实体注入漏洞（XXE）简介：PHP7.0.30libxml2.8.0复现环境vulhubexec进入docker有三个文件dom.php使用DOMDocument解析bodySimpleXMLElement.php
m0_46580995·2020-08-25 07:55

vulnhub-XXE靶机渗透

靶机：下载链接:https://download.vulnhub.com/xxe/XXE.zipXXE注入工具下载：https://download.csdn.net/download/weixin_41082546
banacyo14206·2020-08-25 06:37

XML外部实体（XXE）注入详解

###XML与xxe注入基础知识1.XMl定义XML由3个部分构成，它们分别是：文档类型定义（DocumentTypeDefinition，DTD），即XML的布局语言；可扩展的样式语言（ExtensibleStyleLanguage
zy_strive_2012·2020-08-25 06:12

XXE详解-----XML实体注入

XXE-----XML外部实体注入XML简介XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。
不断积淀·2020-08-24 17:35

XML 实体注入

XML的文档结构：XML文档声明，在文档的第一行XML文档类型定义，即DTD，XXE漏洞所在的地方XML文档元素DTD内部声明DTD：引用外部DTD：或实体声明内部声明实体：引用外部实体：或XML外部引用支持的协议对于
YT--98·2020-08-24 17:51

Burp之Collaborator使用技巧

0x01Collaborator的用途在我们进行渗透测试的时候，可能会遇到这种情况，测试xss的时候插入了脚本，无法立即触发，例如提交反馈表单，需要等管理员打开查看提交信息时才会触发，或者是无回显的ssrf，无回显的xxe
在努力的wulaoban·2020-08-24 16:59

java解决微信支付关于XML解析存在的安全问题

最近微信支付发了一条通知也就是微信支付暴露除了XXE漏洞官方文档描述有限在这里给出详细的微信支付代码关于这个漏洞结合官方sdk的解决方案首先创建XML解析工具类官方SDK给出(主要是这个来阻止XXE)importorg.w3c.dom.Document
会飞的老王·2020-08-24 10:31

看我如何发现Uber合作方网站XXE 0day漏洞并获得9000美元赏金

近期，俄罗斯渗透测试人员VladimirIvanov发现了反勒索数据备份服务商Code42的一个XXE0day漏洞，利用该漏洞可以从使用Code42服务的公司窃取相关备份数据，这些公司包括Uber、Adobe
weixin_34244102·2020-08-24 06:11

利用EXCEL进行XXE攻击

不常见的是用Excel进行XXE攻击。0x01这是什么方式实际上，与所有post-Office2007文件格式一样，现代Excel文件实际上只是XML文档的zip文件。这称为OfficeOpenXM
xu84557120·2020-08-24 04:19

谈谈微信支付曝出的漏洞

一、背景昨天（2018-07-04）微信支付的SDK曝出重大漏洞（XXE漏洞），通过该漏洞，攻击者可以获取服务器中目录结构、文件内容，如代码、各种私钥等。
美的让人心动·2020-08-24 01:57

SSRF服务器端请求伪造漏洞之——攻防实战与防范方法

攻防实战与防范方法目录攻防实战与防范方法bWAPP中的SSRF给出了3个小实验来说明SSRF的利用场景任务1：使用远程文件包含进行端口扫描（内网探测）任务2：使用XXE获取敏感文件中的内容（文件读取）任务
温柔小薛·2020-08-22 15:34

江山歌行之CLTPHP5.5.3代码审计

XXE漏洞：全局搜索解析xml的函数：simplexml_load_string()，发现只有Wchat控制器里有调用。
csdnPM250·2020-08-21 08:45

XXE漏洞研究分析

近期在做个基础的web常见漏洞的ppt，主要参考OWASPTOP102017RC2，此版本中增加了XXE攻击，所以自己简单的研究了下XXE攻击，做个笔记。
chenwan8737·2020-08-20 23:00

谈高效漏洞挖掘之Fuzzing的艺术

逻辑漏洞-越权2（参数值枚举）2.4逻辑漏洞-IDOR（IDOR-不安全的直接对象引用）2.5回显伪造-本地验证2.6逻辑漏洞->【参数fuzz】->未授权2.7逻辑漏洞-越权->js信息接口fuzz三、XXE-Fuzzing
bylfsj·2020-08-20 23:57

00.web

1.XXE[1]XXE(XMLExternalEntityInjection)漏洞实践如何挖掘Uber网站的XXE注入漏洞XXE被提起时我们会想到什么XXE漏洞的简单理解和测试xxe漏洞检测及代码执行过程浅谈
新一mghc·2020-08-20 16:35

利用dnslog进行无回显注入

它可以帮助安全研究人员在测试漏洞时收集信息（例如SSRF/XXE/RFI/RCE）
原来是老王·2020-08-20 14:50

hackthebox - Aragog （考点：ftp & xxe攻击 & 修改php代码提权）

1扫描21想到ftp进去找东西，都提示了匿名可进，里面有个test文件，好直白。。22想到可能有ssh登录80进web信息搜集C:\root>nmap-A10.10.10.78StartingNmap7.80(https://nmap.org)at2020-05-2923:03EDTNmapscanreportfor10.10.10.78Hostisup(0.25slatency).Notshow
冬萍子·2020-08-20 13:40

Java代码审计：XXE漏洞

0x01XXE漏洞简介XXE（XML外部实体注入，XMLExternalEntity)，在应用程序解析XML输入时，当允许引用外部实体时，可构造
god_zZz·2020-08-20 00:15

PyYAML 对象类型解析导致的命令执行问题

议题主要介绍了YAML、XML和JSON三种格式用于Python序列化数据处理所存在的一些安全问题，其中XML部分讲解的是Python中的XXE，而JSON格式Python处理本身不存在问题，在前端JavaScript
涮火锅·2020-08-19 15:15

Web应用漏洞fuzz工具 – teenage mutant ninja turtles V 1.5

teenagemutantninjaturtlesV1.52012-09-1409:51作者:网络来源:黑客x档案浏览:147次摘要:现在很多大中型网站都在服务器前段架设了WAF、IPS等过滤设备，常见的SQL注入、XSS、XXE
lionzl·2020-08-19 10:36

Web应用扫描工具Wapiti

该工具可以探测文件包含、数据库注入、XSS、CRLF、XXE注入、.htaccess绕过等漏洞。渗透测试人员不仅可以设置漏洞信息彩色高亮显示，还可以指定报告文件格式。
大学霸IT达人·2020-08-19 07:06

XXE萌新进阶全攻略

首先声明下本文为萌新向，旨在让刚接触XXE基本概念的小伙伴们可以熟练运用高阶的XXE攻击。
qq_27446553·2020-08-18 00:41

XXE漏洞原理与利用练习

XXE-"xmlexternalentityinjection(外部实体注入)"如果在XML中允许引用外部实体时，通过构造恶意内容，就可能导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害
Anonymous0xcc·2020-08-16 16:59

关于zimbra的复现以及突破

Zimbra未登录RCE漏洞利用首先我是根据这个PDF进行复现的,但是复现过程出现很多问题首先使用这个XXE读取文件]>      aaaaa    &xxe;    如果成功就可以继续了,然后使用POST
weixin_30721077·2020-08-16 15:19

XXE漏洞利用详情和修复

简介xxe也就是xml外部实体注入,简单理解就是当允许引用外部实体时，XML数据在传输中有可能会被不法分子被修改，如果服务器执行被恶意插入的代码，就可以实现攻击的目的攻击者可以通过构造恶意内容，就可能导致任意文件读取
tangyuan569·2020-08-16 15:09

web安全 XML实体注入风险

这一行为会将应用程序暴露给XMLExternalEntity(XXE)攻击，从而用于拒绝本地系统的服务，获取对本
CHS007chs·2020-08-16 11:58

zimbra rce 漏洞复现

上钟馗之眼和shodan找了个目标第一步，利用了CVE-2019-9670XXE漏洞来读取配置文件Zimbra配置文件位置为/conf/localconfig.xml根据《ASagaofCodeExecutionsonZimbra
莫者·2020-08-16 11:06

OWASP之XXE（XML外部实体注入）

前提条件libxml2.9.1及以后，默认不解析外部实体。可使用phpinfo()查看libxml的版本信息。网址后加phpinfo.phpXML文档组成：xml声明，DTD部分，xml部分cross-domain-policy根节点，http://…dtd引用文件位置DTD（文档类型定义）为xml文档定义语义约束，内部声明，外部引用dtd用法参考内容：https://blog.csdn.net/
星辰大海0601·2020-08-14 14:21

微信支付XXE漏洞修复解决办法

@tz根据微信官方回复消息：1、您更新的只是官方SDK的部分代码，没有完全更新，或者在SDK外还使用了XML的解析没有防XXE2、您可能有多个回调地址，而你只修复了其中一个3、您可能有多个服务器，你只发布了其中一台或者修改了没有正式发布
qq_26387907·2020-08-14 03:22

微信支付XML解析存在的安全问题（XXE）--备忘录

微信支付商户，最近暴露的XML外部实体注入漏洞(XMLExternalEntityInjection，简称XXE)，该安全问题是由XML组件默认没有禁用外部实体引用导致，非微信支付系统存在漏洞。
木辰風·2020-08-11 22:48

xxe漏洞原理和案例实验演示

什么是xml？xml一般指可扩展标记语言可扩展标记语言，标准通用标记语言的子集，是一种用于标记电子文件使其具有结构性的标记语言。在电子计算机中，标记指计算机所能理解的信息符号，通过此种标记，计算机之间可以处理包含各种的信息比如文章等。它可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。它非常适合万维网传输，提供统一的方法来描述和交换独立于应用程序或供应商的结构化数据。
。北冥有鱼·2020-08-11 19:13

初识XXE漏洞

0X01:何为XXE漏洞？XXE是指xml外部实体攻击0x02:那么xml是什么？xml实体攻击是什么？
梭哈王·2020-08-11 19:25

xxe漏洞的学习与利用总结

前言对于xxe漏洞的认识一直都不是很清楚，而在我为期不长的挖洞生涯中也没有遇到过，所以就想着总结一下，撰写此文以作为记录，加深自己对xxe漏洞的认识。
weixin_30701575·2020-08-11 18:43

【pikachu渗透靶场&Web安全从入门到放弃】之 XXE漏洞原理和案例实验演示—— “叉叉易”

48.10-2xxe漏洞原理和案例实验演示(Av96582332,P48)XXE(xmlexternalentityinjection"第一部分：XML声明DaveTomReminderYouareagoodmanDTDDocumentTypeDefinition
你们这样一点都不可耐·2020-08-11 18:19

Pikachu-XXE

0x00XXE-“xmlexternalentityinjection”既"xml外部实体注入漏洞"。
baynk·2020-08-11 18:36

Pikachu漏洞平台练习——XXE实体类型举例、Blind OOB XXE、其他协议、XXE漏洞读取文件

1.XXE概述XXE-“xmlexternalentityinjection”，即xml外部实体注入。
7Riven·2020-08-11 17:05

[红日安全]Web安全Day8 - XXE实战攻防

本文由红日安全成员：ruanruan编写，如有不当，还望斧正。大家好，我们是红日安全-Web安全攻防小组。此项目是关于Web安全的系列文章分享，还包含一个HTB靶场供大家练习，我们给这个项目起了一个名字叫Web安全实战，希望对想要学习Web安全的朋友们有所帮助。每一篇文章都是于基于漏洞简介-漏洞原理-漏洞危害-测试方法（手工测试，工具测试）-靶场测试（分为PHP靶场、JAVA靶场、Python靶场
hongrisec·2020-08-11 16:49

PiKachu靶场之XXE (xml外部实体注入漏洞)

概述XXE-"xmlexternalentityinjection"既"xml外部实体注入漏洞"。
angry_program·2020-08-11 16:49

xxe漏洞

xxe漏洞，全称xml外部实体注入漏洞，xxe漏洞发生在应用程序解析xml输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害
轩凌云·2020-08-11 15:39

渗透之路基础 -- XXE注入漏洞

XXE漏洞XXE漏洞全称XMLExternalEntityInjection即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取
r0ckysec·2020-08-10 19:17

Go 采坑指南(一) for range 遍历 值引用

10)xx:=make(map[int]xxa,0)b:=xxa{caomao:"XXb"}c:=xxa{caomao:"XXc"}d:=xxa{caomao:"XXd"}e:=xxa{caomao:"XXe
草帽boy7·2020-08-10 11:13
上一页 4 5 6 7 8 9 10 11 下一页
按字母分类： ABCDEFGHIJKLMNOPQRSTUVWXYZ其他