XXE漏洞--xml基础知识

发布时间 2023-08-20 11:53:40作者: na2co3-

一、XML基础知识

可以用于配置文件、交换数据

要求:

XML文档必须有根元素

XML文档必须有关闭标签

XML标签对大小写敏感

XML元素必须被正确嵌套

XML属性必须加引号

DTD(Document Type Definition)

文档类型定义

自动校验格式内容,元素ELEMENT校验

实体ENTITY定义字符或值,相当于全局变量,可以进行引用。

内部实体:xml内部定义的

<!ENTITY cs "changsha">

外部实体:使用协议引用外部文件

<!ENTITY xxe SYSTEM "file:///D:/test/test.dtd">

协议:

file、php、http

使用协议需要安装扩展