XXE实体注入

1.XXE原理 XML被设计用来传输和存储数据。所以在网站中可以使用XML来读取或者写入数据。 如果用户可以控制XML代码，既可以利用XML读取任意文件。 2.php相关漏洞 php中有个函数：simplexml_load_string()。这个函数是将XML转化为对象，然后在php中使用。 3.注入小技巧 很多时候注入都是没有回显的，对于这类XXE来说，可以用XML将目标读取出来，然后使用XML

>>阅读原文<<