实验：通过图像文件上传利用XXE

从业者

此实验室允许用户将头像附加到注释并使用Apache Batik库来处理化身图像文件。

要解决实验室，请上传显示内容的图像/ etc / hostname处理后的文件。然后使用“提交解决方案”按钮提交服务器主机名的值。

暗示

SVG图像格式使用XML。

访问实验室

解决方案

使用以下内容创建本地SVG图像：
<？xml版本=“1.0”独立=“是”？> <！doctype测试[<！实体XXE.系统“文件：/// etc / hostname”>]>
在博客帖子上发表评论，并将此图片上传为化身。
查看您的评论时，您应该看到内容/ etc / hostname文件中的文件。使用“提交解决方案”按钮提交服务器主机名的值。

社区解决方案beplay维护得多久

GARR_7.

Michael Sommer（没有音频）

想要跟踪您的进度并具有更个性化的学习体验吗？（免费！）

注册登录

在这个主题中

XXE注射 XML实体盲目XXE漏洞

免费注册以跟踪您的学习进度

通过Portswiggigger的Web安全学院工作的好处beplay官网可以赌beplay体育能用吗

练习利用现实目标的漏洞。
将您的进度从学徒记录到专家。
看看你在我们的名声中排名的地方。

^{已经有了一个帐户？在此登录}