XXE 漏洞基本的了解

时间 2019-11-19

标签 xxe 漏洞基本了解繁體版

原文原文链接

XXE 注入html

在开始以前，先认识一下，最多见的XXE漏洞类型，这样有助于攻击并创造最终正确的 POC：app

　　1.基础的 XXE 注入——外部实体注入本地 DTD。ide

　　2.基于盲注的 XXE 注入—— XML 解析器在响应中不显示任何错误。学习

　　3.基于错误的 XXE 注入——成功解析以后，XML 解析器始终显示 SAME 响应。即“你的消息已被接收”，所以，咱们可能但愿解析器将文件的内容打印到错误响应中。ui

XXE是一个很是强大的攻击，它容许咱们操纵错误的XML解析器并利用它们。请注意，有更多的技术和攻击利用方式能够经过XXE注入完成。如前所述，每一个解析器都有不一样的能力，所以咱们能够提出不一样的漏洞；；htm

看了一张相关的文章因此知道了 XXE 漏洞攻击；it

https://www.secpulse.com/archives/58915.htmlgui

还有一个下载的实验；https://appsec-labs.com/portal/wp-content/uploads/2016/09/XXE-demo-try-it-onyourself.rar基础

这个文章有一个原文连接：https://appsec-labs.com/portal/xxe-attacking-guide/下载

看了几个 XXE 漏洞不少文章都是在2016 2017 的；事后作一下这个 XXE 漏洞实验；

看了一个内网大杀器利用：CVE - 2019 - 1024 漏洞

连接以下：

https://msd.misuland.com/pd/3255817997595445898

学习一下