XXE漏洞
XML外部实体注入(XXE)的原理和应用_xml注入原理-CSDN博客
XXE(XML外部实体注入)漏洞分析——pikachu靶场复现_pikachu xxe-CSDN博客
原理
XML外部实体注入漏洞(XML External Entity Injection)简称XXE,XXE漏洞发生在应用程序解析XML输入时,没有禁止外部实体的加载,导致可加载恶意外部文件,造成文件读取、命令执行、内网探测和攻击,发起dos攻击等危害
XML外部实体注入攻击漏洞是在对非安全的外部实体数据进⾏行处理时引发的安全问题,触发的点往往是可以上传xml文件的位置,没有对上传的xml文件进行过滤,导致可上传恶意xml文件,造成攻击危害。
pikachu
打开题目,随便输入一串,他说得是
那我们就输入以下看看是否回显:
]>
&xxe;
发现有回显:
读取windows.ini的文件的payload如下
]>
&xxe;
结果如下
机房租用,北京机房托管,大带宽租用,IDC机房服务器主机租用托管-价格及服务咨询 www.e1idc.net