一道关于 XML 实体注入的 CTF题

地址：http://web.jarvisoj.com:9882/ 目标：获取目标及其 /home/ctf/flag.txt 中的 flag 值 1. 先通过抓包查看请求包 可以看到，Content-Type 是通过 JSON 来传送的。若将传送的数据格式改为 XML，那么有可能服务器就会解析上传的 XML 脚本来干一些不可描述的事情。 2. 将数据包发送到 Repeater 中进行测试。 3. 修

>>阅读原文<<