xxe 第9页

渗透之路基础 -- XXE注入漏洞

XXE漏洞XXE漏洞全称XMLExternalEntityInjection即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取

b627074592·2020-08-09 19:49

WebLogic CVE-2019-2647、CVE-2019-2648、CVE-2019-2649、CVE-2019-2650 XXE漏洞分析

@xxlegend在《WeblogicCVE-2019-2647等相关XXE漏洞分析》分析了其中的一个XXE漏洞点，并给出了PoC。

晓得哥·2020-08-08 00:23

网络安全入门到精通（总结篇）最终篇（下）

仰望星空的时候，不要忘记脚踏实地本文内容：1.web通信基础2.后端数据库正则3.信息收集4.sql注入5.XSS6.CSRF7.文件上传8.验证码、密码找回漏洞9.越权漏洞10.SSRF11.支付漏洞12.XXE13

划水的小白白·2020-08-07 21:58

Web安全--XXE

0x01简介顺手搜了一下CVE，XXE的问题还真不少。XXE，XMLExternalEntity（外部实体）。DTD（文档类型定义）的作用是定义XML文档的合法构建模块。

小白安全·2020-08-07 14:27

[Jarvis OJ]–api调用–XXE漏洞学习笔记

这题的提示是查看flag文件，用到的是XXE漏洞，有几篇原理文章参考一下：https://security.tencent.com/index.php/blog/msg/69http://

安~然·2020-08-05 21:06

OWASP-2017-A1注入类

广义上来说2017版本定义的A4-XXE（XML外部实体注入）、A8-反序列化（代码注入

silencediors·2020-08-05 20:04

OWASP-前言

网上很多关于OWASPTOP10的文章，要么仅仅是13年和17年的简单对比，要么是某一个比如注入、XXE等等的专题介绍。而OWASP官方提供的TOP10

silencediors·2020-08-05 20:33

XXE漏洞基础及简单利用

本文目录前言XXE基础xxe概念XML基础知识实体引用：DTDXXE文件读取xxe-labXXE简单利用小结前言学习XXE，其实前段时间写过一篇关于XXE的，但是由于不可描述的原因，我那篇博客原稿没有了

m0re·2020-08-05 19:39

Htlab_Weekly_Ctf_13&14

simplexxe一个简单的xml注入题，源码提示说flag在/opt/flag.txt里面，读一下即可得到flagpayload]>&a;ablindxxe源码发现提示根据题目名字知道这是个无回显的xxe

kkkkkkkkkkkab1·2020-08-05 19:07

第三届红帽杯 web题 Ticket_System

这边貌似有xxe？？？？？？果然有xxe，我们看一下hint.txt

呆呆呆了丢·2020-08-05 19:47

[NCTF2019]Fake XML cookbook

知识点xml实体注入题目提示XML，可知为XXE攻击，原理参考https://www.freebuf.com/vuls/175451.html简要来讲就是客户端向服务器发送了XML数据，这个数据能被我们控制

夜幕下的灯火阑珊·2020-08-05 19:47

[CSAWQual 2019]Web_Unagi

打开界面看看其他有什么内容：来看看格式事例：从信息提示我们可以知道要通过编写xml文件上传即通过XXE编码转换成utf-16编码绕过我们可以利用vim编辑xml文件（取名为2.xml)构造payload

FFFIONA__·2020-08-05 19:11

2019-NCTF web writeup（上）

2019-NCTFwebwriteup收货1.php常见绕过姿势2.XXE漏洞利用技巧及SSRF3.文件上传绕过姿势2019NCTF题目0x01easyphp";}else{die('23333333'

crisprx·2020-08-05 18:16

2020第五空间 web writeup

这儿还有一个需要注意的点我们在计算长度的时候不能直接计算明文的长度，这是因为上面的字符有一些特殊字符，而这些特殊字符又有实际的含义，例如&假设我们只计算明文的长度，则不管我们怎么url编码，服务器都会解析成明文的格式即访问xxe.php

HyyMbb·2020-08-05 18:19

web安全定义

没有与数据库进行连接所有页面都是静态的动态网站应用程序数据库每个人看到发内容不同根据用户输入返回不同结果和静态网站最大的区别就是动态网站能接收客户端用户提交的数据web常见攻击类型文件上传命令执行远程文件包含跨站脚本攻击（xss）跨站请求伪造攻击（CSRF）服务器请求伪造（SSRF）database（SQL）注入攻击xxe

Test农夫安全·2020-08-02 13:59

Pikachu靶场实战

3.3.3CSRF（Token防御）3.4SQL注入3.5RCE（代码执行/命令执行）3.6文件包含3.7文件下载3.8文件上传3.9越权漏洞3.10目录遍历3.11敏感信息泄露3.12PHP反序列化漏洞3.13XXE

風月长情·2020-08-02 12:16

解决javax.xml.parsers.DocumentBuilderFactory.setFeature(Ljava/lang/String;Z)V异常

1问题在解决微信支付XXE（XML外部实体注入漏洞）的时使用了setFeature()方法，出现了如下异常：java.lang.AbstractMethodError:javax.xml.parsers.DocumentBuilderFactory.setFeature

汤姆猫丶·2020-07-31 22:49

【漏洞预警】微信支付SDK存在严重漏洞，可导致0元支付或商家服务器被黑

XXE(XMLExternalEntityInjection)漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载。是一种针对使用XML交互的Web应用程序的攻击方法。

青莲云·2020-07-30 04:32

33. 注入信息无回显？(给盲注戴上眼镜)

(像ssrf，XXE，包括SQL盲注)，这样就无法确认漏洞存在。这时候推荐使用CEYE平台。CEYE是一个用来检测带外（Out-of-Band）流量的监控平台，如DNS查询和HTTP请求。

weixin_30408739·2020-07-30 02:46

XXE漏洞原理和案例实验演示；ssrf漏洞原理和实验案例演示

一、XXE漏洞原理和案例实验演示XXE（xmlexternalentity-injection“）1.XMLxml是一种可扩展的标记语言，可用来存储数据、传输数据XML格式：第二部分：DTDDTD:DocumentTypeDefintion

黑黑黑白白白·2020-07-29 23:32

webug4.0——注入篇

webug4.0——注入篇第一关显错注入第二关布尔注入第三关延时注入第四关post注入第五关过滤注入第六关宽字节注入第七关xxe注入第八关CSV注入第十一关万能密码登陆今天接触到一个好玩的靶场环境~~webug

A_dmins·2020-07-29 23:42

Google_CTF2019-bnv

Web:BNV—155point:这是一个beginnerquest，也进一步学习了一下XXE。首先给定一个网站https://bnv.web.ctfcompetition.com/。

Kiglass·2020-07-29 22:44

【XXE技巧拓展】————7、XXE (XML External Entity Injection) 漏洞实践

介绍XXE(XMLExternalEntityInjection)漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载。主要是针对使用XML交互的Web应用程序的攻击方法。

FLy_鹏程万里·2020-07-29 15:07

代码审计--13--XML注入漏洞

无论是WEB程序，还是PC程序，只要处理用户可控的XML都可能存在危害极大的XXE漏洞，开发人员在处理XML时需谨慎，在用户可控的XML数据里禁止引用外部实体。

随亦·2020-07-29 12:38

CTF在线工具平台

平台地址：https://tool.thief.one/平台界面：列移位加密算法：【热门文章推荐】：色情资源引发的百度网盘之战浅谈XXE漏洞攻击与防御当子域名遇上搜索引擎安卓版Kali-linux搭建小记利用

nmask·2020-07-29 10:28

2019网络与信息安全专项赛题解

2019的大哥们一起打的比赛，记录一下webweb1web签到,像这种前端游戏，一般逻辑都在js里面所以直接看cqg.js,无脑赋值socre=15，出来flagweb2burp启动，数据xml格式，猜测xxe

weixin_30376453·2020-07-29 09:37

那些年，怼过的开发（二）——XXE

代码审计涉及漏洞：XMLEntityExpansionInjection(XML实体扩展注入)XMLExternalEntityInjection(XML外部实体注入)为什么是第一讲就是XXE漏洞，而不是

RabbitMask·2020-07-28 21:15

XXE外部实体注入漏洞之——CTF考题补充与——及XXE漏洞修复

进入题目http://web.jarvisoj.com:9882/发现一个输入框，我们对其进行抓包是一个json数据提交，修改数据发现可以被解析这是一道xxe的题，怎么获取flag？

温柔小薛·2020-07-28 21:09

使用JAXB实现XML转对象导致XXE漏洞防护

不安全写法，存在漏洞：publicstaticObjectconvertXmlToObj(Classclazz,StringxmlStr)throwsException{JAXBContextcontext=JAXBContext.newInstance(clazz);Unmarshallerunmarshaller=context.createUnmarshaller();returnunmar

奇歌微微·2020-07-28 15:38

XXE——参数实体攻击(CVE-2017-14949)

XML参数实体参数实体必须定义在单独的DTD文档中或XML文档的DTD区(但是引用只能在DTD文档中，即外部子集，而不能在XML文档的DTD区)，前者为该XML文档的外部子集，后者为该XML文档的内部子集参数实体的作用是作为DTD中的元素的条件控制。参数实体定义以%作为开头，引用也以%开头，以;结尾。一般实体的定义无%开头，引用以&开头，以;结尾DTD区由于参数实体只能在DTD引用，因此参数实体看

sum3mer·2020-07-28 11:46

JAVA常见的XXE漏洞写法和防御

JAVA常见的XXE漏洞写法和防御貌似最近经常看到有Java项目爆出XXE的漏洞并且带有CVE，包括Spring-data-XMLBeanXXE漏洞、JavaMelody组件XXE漏洞解析、ApacheOFBiz

表弟·2020-07-28 06:39

国外黑客发现的海康威视远程系统XXE漏洞分析

当我在破解Elisa摄像机尝试获取密码信息的过程中，却偶然发现了海康威视远程系统的一个XML外部实体注入漏洞（XXE）。

qq_27446553·2020-07-28 06:49

记一次GL error: Out of memory!的崩溃

UVC摄像头，使用uvccamera库去打开，在进行打开->关闭压测的过程中，发现到了940多次进程就崩溃，大致log如下：2020-05-0417:23:52.9838657-8684/com.xx.xxE

马卡和他弟·2020-07-28 00:53

从红帽杯题目学习thinkphp 5.1反序列化利用链

tp5.2这个反序列化pop链来学习下大佬们的构造思路，不得不说这个pop链真的是很强了，在分析的过程中，妈妈一直问我为什么跪着玩电脑～红帽杯2019Ticket_System思路在直接输入xml数据处存在xxe

公众号：一个安全研究员·2020-07-15 23:59

XXE学习

title:XXE学习date:2019-03-2220:51:41tags:-XXEcategories:-Web安全-XXE前言本来是想了解一下SSRF的，结果找到讲bWapp的SSRF的博客，里面有一个关于

Miracle778·2020-07-15 12:55

防止XXE注入攻击

一、XML基础知识XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。DTD（文档类型定义）的作用是定义XML文档的合法构建模块。DTD可以在XML文档内声明，也可以外部引用。内部声明DTD引用外部DTD或者DTD实体是用于定义引用普通文本或特殊字符的快捷

朝闻道_·2020-07-15 00:10

DoraBox

跨域资源读文件包含任意文件包含目录限制文件包文件上传任意文件上传JS限制文件上传MIME限制文件扩展名限制文件内容限制文件上传代码/命令任意代码执行任意命令执行SSRFSSRF其他条件竞争-支付条件竞争-上传任意文件读取XXE

ssion_·2020-07-13 21:09

XXE漏洞原理及防御

1.XXE漏洞XXE漏洞就是XML外部实体注入，就是当xml引用外部实体并解析的时候会产生的漏洞，xml解析器去获取其中的外部资源并存储到内部实体中，攻击者可引用外部实体对目标进行文件读取、命令执行、DDOS

ZHH-BA·2020-07-13 16:00

[连载]java代码审计中常见漏洞的特征函数-xxe

常见解析xml的类有如下：javax.xml.parsers.DocumentBuilderjavax.xml.stream.XMLStreamReaderorg.jdom.input.SAXBuilderorg.jdom2.input.SAXBuilderjavax.xml.parsers.SAXParserorg.dom4j.io.SAXReaderorg.xml.sax.XMLReaderj

3riC5r·2020-07-13 04:59

2017 Top 10 Web 应用安全威胁，你的企业正在经历哪些？

A1注入攻击漏洞A6安全配置错误A2失效的身份认证A7跨站脚本XSSA3敏感信息泄露A8不安全反序列化漏洞A4XXE漏洞A9使用含有已知漏洞的组件A5失效的访问控制A10不足的记录和监控在2017威胁榜单中

weixin_33696106·2020-07-12 23:22

CSGO电竞数据API接口 - 【赛事数据】API调用示例代码

分享使用野子科技https://xxe.io/接口调用的示例代码，CSGO的【战队列表】接口。

Cheney.W·2020-07-12 18:10

Xml外部实体注入漏洞(XXE)与防护

Xml外部实体注入(XXE)除了json外，xml也是一种常用的数据传输格式。对xml的解析有以下几种常用的方式：DOM，SAX，JDOM，DOM4J，StAX等。

还是转转·2020-07-12 16:32

XXE(XML External Entity attack)XML外部实体注入攻击

导语XXE：XMLExternalEntity即外部实体，从安全角度理解成XMLExternalEntityattack外部实体注入攻击。

张悠悠66·2020-07-12 16:44

XXE漏洞（XML外部实体注入）

目录什么是XXE基础知识XML语法规则DTD（documenttypedefinition）实体引用基本利用任意文件读取无回显读取本地敏感文件（BlindOOBXXE）端口扫描通过DTD盗取文件远程代码执行

whoim_i·2020-07-12 15:15

微信XXE安全漏洞处理(Java)

登录微信提供处理XXE安全漏洞页面地址:https://pay.weixin.qq.com/wiki/doc/api/micropay.php?

umbrellasoft·2020-07-12 04:12

JavaMelody组件XXE漏洞解析

======================================================转载原处：https://mp.weixin.qq.com/s/Tca3GGPCIc7FZaubUTh18Q微信公众号：EnsecTeam（欢迎关注）======================================================0x00概述JavaMelody是

隐形人真忙·2020-07-12 02:03

XXE漏洞以及Blind XXE总结

转载请注明出处：http://blog.csdn.net/u0117215010、前言XXE漏洞是针对使用XML交互的Web应用程序的攻击方法，在XEE漏洞的基础上，发展出了BlindXXE漏洞。

隐形人真忙·2020-07-12 02:02

XXE注入--XML外部实体注入(XML External Entity)

前言很早就听说过这个漏洞，但是在实际的环境中很少遇见，最近碰到过XXE注入漏洞，于是就来研究一下XXE注入。

猫星人不会笑·2020-07-12 02:35

OWASP Top 10

已知的注入攻击包括SQL，OS，XXE和LDAP。2）失效的身份认证（BrokenAuthentication）当应用程序的功能未正确实现时，攻击面就容易为犯罪分子打开，他们可以

HurryPotter·2020-07-11 19:12

浅谈XML实体注入漏洞

*本文作者：Hu3sky@D0g3，本文属FreeBuf原创奖励计划，未经许可禁止转载学习了XXE漏洞,自己来总结一下,如果有什么写的不到位，不够好的地方，还请师傅们指出。

qq_27446553·2020-07-11 16:22

推荐频道

xxe