超级会员免费看
本文详细介绍了XML攻击，包括有回显和无回显的本地文件读取，以及XXE攻击的其他方式，如内网探测和命令执行。通过实例展示了攻击手段和防御措施，帮助理解XML安全问题。
前言
XML攻击是一种利用XML文件中的漏洞攻击系统的攻击方法。攻击者可以通过构造恶意的XML文件，使系统解析XML文件时受到攻击，导致系统崩溃、泄漏敏感信息等安全问题。XML攻击的常见类型包括XML注入攻击、XXE攻击、XPath注入攻击等。为防范XML攻击，可以采用严格的XML解析方式、限制外部实体引用等安全措施。
一、有回显的本地文件读取
文件内容中存在很多的特殊字符：大于号、小于号等，我们在前面的XML基础巩固中也提到过，当xml的标签内还存在小于号、大于号等特殊字符时，尤其是小于号，会被XML解析器误认为是另一个标签的开始，这样就会造成解析的错误。
二、无回显的本地文件读取
首先，我们使用ncat监听一个端口：
我们选择使用外部DTD，evil2编写如下：
订阅专栏 解锁全文
扫一扫
5万+
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
