实验室：利用XXE使用外部实体检索文件

学徒

这个实验室有一个“检查库存”功能，可以解析XML输入，并在响应中返回任何意外值。

为了解决这个问题，需要注入一个XML外部实体来检索/etc/passwd文件

进入实验室

解决方案

访问产品页面，单击“检查库存”，并在Burp Suite中拦截生成的POST请求。
在XML声明和库存支票要素：
xxe系统“file:///etc/passwd"> ]>
替换productId参考外部实体的编号：&xxe；。响应应包含“无效产品ID:”后跟/etc/passwd文件

社区解决方案beplay维护得多久

加鲁7号

迈克尔·索默（无音频）

想要追踪你的学习进度并获得更个性化的学习体验吗？（免费！）

注册登录

在这个话题中

XXE注射 XML实体盲XXE漏洞

免费注册以跟踪您的学习进度

通过PortSwigger的网络安全学院工作的好处beplay官网可以赌beplay体育能用吗

练习利用现实目标上的漏洞。
记录你从学徒到专家的过程。
看看你在我们名人堂的排名。

^{已经有账户了吗？登录这里}