PHP代码审计之XXE(XML外部实体注入)_[php]xxe

作者：小丑西瓜9 | 2024-05-23 11:58:10

踩

[php]xxe

文章目录

一、XXE原理
二、XML基础知识
XXE分类
- 有回显XXE
五、XXE漏洞

一、XXE原理

xxe其实也叫XML外部实体化注入，该漏洞是由于某些功能处可以认为引入不安全的外部实体数据，在处理数据时引发的不安全问题。
那为什么会叫做外部实体注入而不叫内部实体注入呢?
其实是由于XXE的危害主要来自于dtd文件中引入的外部实体，例如可以通过一些伪协议:如file、ftp、data、phar等来达到我们想要的效果。

二、XML基础知识

我们在学习挖掘XXE漏洞时，首先得了解一下XML语法知识以及如何构造XML文档，这对于后面XXE漏洞利用是必要的一步。

2.1 XML文档示例

XML文档结果包括XML声明、DTD文档类型定义、文档元素。</

声明：本文内容由网友自发贡献，不代表【wpsshop博客】立场，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：https://www.wpsshop.cn/w/小丑西瓜9/article/detail/612728