XXE漏洞原理及利用
0x01概述 XXE（外部實體注入）是XML注入的一種，普通的XML注入利用面比較狹窄，如果有的話也是邏輯類漏洞。XXE擴大了攻擊面。 當允許引用外部實體時，就可能導致任意文件讀取、系統命令執行、內網端口探測、攻擊內網網站等危害。 防御方法：禁用外部實體（PHP ...
原文：weblogic之XXE利用與分析
weblogic之XXE利用與分析 本篇文章漏洞環境使用p神的CVE 本機IP： . . . 被攻擊主機IP： . . . 一 xxer工具 . 簡介 xxer能快速搭建起xxe的盲注環境，下載地址：https: github.com TheTwitchy xxer 工具使用python 啟動， h可查看幫助信息 可以指定端口號，DTD模板等。其中DTD模板格式為工具目錄下的ftp.dtd.tem ...
2021-08-24 22:17 0 115 推薦指數：
相關推薦
利用docx實現XXE
0x00 前言 源於審核hackerone漏洞時的學習。 好久沒更新博客啦，都是存的本地。。 立個flag：找個時間脫敏整理下~~ 0x01 創建poc docx 1、借助網站生成docx h ...
XXE漏洞利用思路
轉自：https://xz.aliyun.com/t/3357 一、XXE 是什么 介紹 XXE 之前，我先來說一下普通的 XML 注入，這個的利用面比較狹窄，如果有的話應該也是邏輯漏洞 如圖所示： 既然能插入 XML 代碼，那我們肯定不能善罷甘休，我們需要更多，於是出現了 XXE ...
XXE漏洞分析
本文系pwn2web原創，轉載請說明出處 XXE 漏洞，全名為XML External Entity Injection，由於程序在解析輸入的XML數據時，解析了攻擊者精心構造的外部實體。 一 預備知識 0x01 XML類型文件結構 XML設計用來傳送及攜帶數據信息，不用 ...
xxe漏洞的學習與利用總結
前言 對於xxe漏洞的認識一直都不是很清楚，而在我為期不長的挖洞生涯中也沒有遇到過，所以就想着總結一下，撰寫此文以作為記錄，加深自己對xxe漏洞的認識。 xml基礎知識 要了解xxe漏洞，那么一定得先明白基礎知識，了解xml文檔的基礎組成。 XML用於標記電子文件使其具有結構性的標記 ...
XXE
XML基礎知識 實體 一般實體 參數實體 內部實體聲明方式 <!ENTITY 實體名 "文本內容"& ...
利用DNSLOG測試XXE漏洞（BWAPP為例）
以BWAPP為例，測試XXE漏洞，用DNSLOG作回顯。 一、選擇XXE漏洞測試，抓包，點擊【anybugs？】。 二、獲取域名 三、直接上payload 四、查看DNSLOG回顯 ...
利用DNSLOG測試XXE漏洞（BWAPP為例）
以BWAPP為例，測試XXE漏洞，用DNSLOG作回顯。 一、選擇XXE漏洞測試，抓包，點擊【anybugs？】。 二、獲取域名 三、直接上payload 四、查看DNSLOG回顯 ...