BurpWeb安全學院之敏感信息泄露
這是burpsuite官網的免費優質實驗. 實驗室地址 https://portswigger.net/web-security/information-disclosure 僅為本人學習記錄文章 ...
原文：BurpWeb安全學院之XXE
實驗室鏈接https: portswigger.net web security XXE漏洞如何產生 一些應用程序使用XML格式在瀏覽器和服務器之間傳輸數據.而服務器端又沒有對XML數據進行很好的檢查,就可能產生XXE漏洞. 如: 某個網頁可能傳輸如下的數據 如果稍加修改: 利用XXE讀取文件 要執行從服務器的文件系統中讀取任意文件的XXE注入攻擊，需要修改兩處XML: 引入 或編輯 一個DOCT ...
2020-08-06 19:14 0 607 推薦指數：
相關推薦
BurpWeb安全學院[不安全的反序列化]
介紹 burpsuite官網上一套不安全的反序列化實驗(免費) 地址在 https://portswigger.net/web-security/deserialization/exploiting 本文是在這個實驗室學習的記錄 有針對實驗的解決,也有別的一些 如何識別不安全的反序列化 ...
[WEB安全]XXE漏洞總結
0x00 XML基礎 在介紹xxe漏洞前，先學習溫顧一下XML的基礎知識。XML被設計為傳輸和存儲數據，其焦點是數據的內容，其把數據從HTML分離，是獨立於軟件和硬件的信息傳輸工具。 0x01 XML文檔結構 XML文檔結構包括XML聲明、DTD文檔類型定義（可選）、文檔元素 ...
[Web安全] XXE漏洞攻防學習（上）
0x00、XXE漏洞 XXE漏洞全稱XML External Entity Injection 即xml外部實體注入漏洞，XXE漏洞發生在應用程序解析XML輸入時，沒有禁止外部實體的加載，導致可加載惡意外部文件和代碼，造成任意文件讀取、命令執行、內網端口掃描、攻擊內網網站、發起Dos攻擊等危害 ...
XXE
XML基礎知識 實體 一般實體 參數實體 內部實體聲明方式 <!ENTITY 實體名 "文本內容"& ...
[Web安全] XXE漏洞攻防學習（中）
0x00、XXE漏洞攻擊實例 攻擊思路： 1. 引用外部實體遠程文件讀取 2. Blind XXE 3. Dos 0x01、外部實體引用，有回顯 實驗操作平台：bWAPP平台上的XXE題目 題目： 進行抓包，點擊Any bugs？按鈕，抓包如下： 可以看到 ...
[紅日安全]Web安全Day8 - XXE實戰攻防
本文由紅日安全成員： ruanruan 編寫，如有不當，還望斧正。 大家好，我們是紅日安全-Web安全攻防小組。此項目是關於Web安全的系列文章分享，還包含一個HTB靶場供大家練習，我們給這個項目起了一個名字叫 Web安全實戰 ，希望對想要學習Web安全的朋友們有所幫助。每一篇文章都是於基於漏洞 ...
XML相關的安全漏洞-XXE,XPATH小結
0x00前言： 本文主要小結以下php下的xpath查詢xml結構的漏洞利用和XXE漏洞利用 xml是可擴展標記語言，它被設計出來是為了存儲傳輸數據的。 它的結構是樹形結構，並且標簽要成對出現比如下面這個例子 把上面的代碼畫個示意圖 0x01xpath注入 ...