【DoraBox实战】————10、XXE分析与研究
什么是XXE
简单来说，XXE就是XML外部实体注入。当允许引用外部实体时，通过构造恶意内容，就可能导致任意文件读取、系统命令执行、内网端口探测、攻击内网网站等危害。
XXE检测
第一步检测XML是否会被成功解析：
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE ANY [
<!ENTITY name "my name is nMask">]>
<root>&name;</root>如果页面输出了my name is nMask，说明xml文件可以被解析。
第二步检测服务器是否支持DTD引用外部实体：