2023 Web基础XXE漏洞原理与分析.pptxVIP

XXE外部实体注入攻击讲解讲师：云山隐雾·安全

什么是XXEXXE原理靶场演示目录

1、什么是XXEXXE（XML外部实体注入，XMLExternalEntity)：在应用程序解析XML输入时，当允许引用外部实体时，可构造恶意内容，导致读取任意文件、探测内网端口、攻击内网网站、执行系统命令等。

核心是我们输入的代码，会被当做xml的代码执行典型的攻击如下定义实体必须写在DTD部分

2、什么是XML什么是XML?XML指可扩展标记语言（EXtensibleMarkupLanguage）XML是一种标记语言，很类似HTMLXML的设计宗旨是传输数据，而非显示数据XML标签没有被预定义。您需要自行定义标签。XML被设计为具有自我描述性。XML是W3C的推荐标准

3、什么是XML特点：XML仅仅是纯文本，他不会做任何事情。XML可以自己发明标签（允许定义自己的标签和文档结构）XML无所不在。XML是各种应用程序之间进行数据传输的最常用的工具，并且在信息存储和描述领域变得越来越流行。这个东西就是个储存数据的

4、什么是XML实体XML实体是在XML文档中表示数据项的一种方式，而不是使用数据本身。各种实体内置于XML语言的规范中。例如，实体lt；并且gt；表示字符和。这些是用于表示XML标记的元字符，因此当它们出现在数据中时，通常必须使用它们的实体来表