大佬文章:(14条消息) 【web安全】——XXE漏洞快速入门_白昼安全的博客-CSDN博客
目录
1.XML的实体
2.XML实体的分类
详细请看大佬文章
二、XXE漏洞介绍
1.XXE漏洞的原理
2.XEE漏洞的危害
3.漏洞防范
一、xml语言介绍
XML 用于标记电子文件使其具有结构性的标记语言,可以用来标记数据、定义数据类型,是一种允许用户对自 己的标记语言进行定义的源语言。XML 文档结构包括 XML 声明、 DTD 文档类型定义(可选)、文档元素XMl 被设计用来传输和存储数据。 XML 文档形成了一种树状结构,它从 " 根部 " 开始,然后扩展到 " 枝叶 " 。XMl 允许作者定义自己的标签和自己的文档结构。XML 被设计用来传输和存储数据。HTML 被设计用来显示数据<?xml version="1.0"?><!DOCTYPE note [<!-- 定义此文档是 note 类型的文档 --><!ELEMENT note (nuc,edu)><!-- 定义 note 元素有四个元素 --><!ELEMENT nuc (#PCDATA)><!-- 定义 to 元素为 ”#PCDATA” 类型 --><!ELEMENT edu (#PCDATA)><!-- 定义 from 元素为 ”#PCDATA” 类型 -->]><note><nuc>hello</nuc> // 文档元素<edu>world</edu></note>
1.XML的实体
所以出现了实体Entity来解决这个问题 实体Entity是一种简单的存储单元就好比xml变量一样可以对它进行赋值﹐并在xml文档中不同的地方对他引用。实体在XML文档中的文档类型定义部分(DTD)被单独定义描述。
2.XML实体的分类
1.内部实体
2.外部实体
内部实体就相当于自己编写DTD内容,而外部实体就相当于引入外部的DTD内容
详细请看大佬文章
(14条消息) XML 教程(一文彻底搞懂XML)_骑摩托的蜗牛的博客-CSDN博客
二、XXE漏洞介绍
XXE全称为XML External Entity Injection即XMl外部实体注入漏洞
1.XXE漏洞的原理
XXE就是XML外部实体注入,当允许引用外部实体时, XML数据在传输中有可能会被不法分子被修改,如果服务器执行被恶意插入的代码,就可以实现攻击的目的攻击者可以通过构造恶意内容,就可能导致任意文件读取,系统命令执行,内网端口探测,攻击内网网站等危害。
2.XEE漏洞的危害
任意文件读取、系统命令执行、内网端口扫描、攻击内网网站、发起dos攻击等危害
3.漏洞防范
1、禁止使用外部实体,例如libxml disable_entity_loader(true) 。文章来源:https://www.toymoban.com/news/detail-472589.html
2、过滤用户提交的XML数据,防止出现非法内容。文章来源地址https://www.toymoban.com/news/detail-472589.html
到了这里,关于Web的基本漏洞--XXE漏洞的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!