XXE漏洞原理及利用
0x01概述 XXE（外部实体注入）是XML注入的一种，普通的XML注入利用面比较狭窄，如果有的话也是逻辑类漏洞。XXE扩大了攻击面。 当允许引用外部实体时，就可能导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害。 防御方法：禁用外部实体（PHP ...
原文：weblogic之XXE利用与分析
weblogic之XXE利用与分析 本篇文章漏洞环境使用p神的CVE 本机IP： . . . 被攻击主机IP： . . . 一 xxer工具 . 简介 xxer能快速搭建起xxe的盲注环境，下载地址：https: github.com TheTwitchy xxer 工具使用python 启动， h可查看帮助信息 可以指定端口号，DTD模板等。其中DTD模板格式为工具目录下的ftp.dtd.tem ...
2021-08-24 22:17 0 115 推荐指数：
相关推荐
利用docx实现XXE
0x00 前言 源于审核hackerone漏洞时的学习。 好久没更新博客啦，都是存的本地。。 立个flag：找个时间脱敏整理下~~ 0x01 创建poc docx 1、借助网站生成docx h ...
XXE漏洞利用思路
转自：https://xz.aliyun.com/t/3357 一、XXE 是什么 介绍 XXE 之前，我先来说一下普通的 XML 注入，这个的利用面比较狭窄，如果有的话应该也是逻辑漏洞 如图所示： 既然能插入 XML 代码，那我们肯定不能善罢甘休，我们需要更多，于是出现了 XXE ...
XXE漏洞分析
本文系pwn2web原创，转载请说明出处 XXE 漏洞，全名为XML External Entity Injection，由于程序在解析输入的XML数据时，解析了攻击者精心构造的外部实体。 一 预备知识 0x01 XML类型文件结构 XML设计用来传送及携带数据信息，不用 ...
xxe漏洞的学习与利用总结
前言 对于xxe漏洞的认识一直都不是很清楚，而在我为期不长的挖洞生涯中也没有遇到过，所以就想着总结一下，撰写此文以作为记录，加深自己对xxe漏洞的认识。 xml基础知识 要了解xxe漏洞，那么一定得先明白基础知识，了解xml文档的基础组成。 XML用于标记电子文件使其具有结构性的标记 ...
XXE
XML基础知识 实体 一般实体 参数实体 内部实体声明方式 <!ENTITY 实体名 "文本内容"& ...
利用DNSLOG测试XXE漏洞（BWAPP为例）
以BWAPP为例，测试XXE漏洞，用DNSLOG作回显。 一、选择XXE漏洞测试，抓包，点击【anybugs？】。 二、获取域名 三、直接上payload 四、查看DNSLOG回显 ...
利用DNSLOG测试XXE漏洞（BWAPP为例）
以BWAPP为例，测试XXE漏洞，用DNSLOG作回显。 一、选择XXE漏洞测试，抓包，点击【anybugs？】。 二、获取域名 三、直接上payload 四、查看DNSLOG回显 ...