首页 > 其他分享 >XXE漏洞--xml基础知识

XXE漏洞--xml基础知识

时间:2023-08-20 11:55:09浏览次数:40  
标签:xml XML -- 基础知识 文档 XXE

一、XML基础知识

可以用于配置文件、交换数据

要求:

XML文档必须有根元素

XML文档必须有关闭标签

XML标签对大小写敏感

XML元素必须被正确嵌套

XML属性必须加引号

DTD(Document Type Definition)

文档类型定义

自动校验格式内容,元素ELEMENT校验

实体ENTITY定义字符或值,相当于全局变量,可以进行引用。

内部实体:xml内部定义的

<!ENTITY cs "changsha">

外部实体:使用协议引用外部文件

<!ENTITY xxe SYSTEM "file:///D:/test/test.dtd">

协议:

file、php、http

使用协议需要安装扩展

 

 

标签:xml,XML,--,基础知识,文档,XXE
From: https://www.cnblogs.com/L-1906/p/17643782.html

相关文章

  • 3.你所不知道的go语言控制语句——Leetcode习题69
    目录本篇前瞻Leetcode习题9题目描述代码编写控制结构顺序结构(Sequence)声明和赋值多返回值赋值运算符算术运算符位运算符逻辑运算分支结构if语句switch语句逻辑表达式fallthrough类型推断循环语句continuebreakgotoLeetcode习题69题目描述题目分析代码编写本篇小结下篇预告本篇......
  • 2024 款特斯拉 Model Y All In One
    2024款特斯拉ModelYAllInOne2024年特斯拉ModelY规格Tesla一直是时尚和未来主义设计的代名词,ModelYJuniper也不例外。新款ModelY的外观将采用更加流线型和精致的外观,并配有更新的前后饰板。这些变化不仅会增强整体美感,还会改善车辆的空气动力学性能。ModelY......
  • windows环境发布、布署项目
    第一种布署方式:安装IIS,在IIS上发布第二种布署方式:发布后生成的dll文件cmd---dotnet启动项目名(WebNet)第三种布署方式:直接启动发布项目后的exe文件,json配置文件中配置下面这句"Kestrel":{"Endpoints":{"Http":{"Url":"http://*:7010"}......
  • [AHK2] 窗口置顶管理
    开始如题,这个脚本是用来设置窗口置顶状态和进行批量管理的。在实际生活中,窗口置顶还算常用吧~反正我常常烦躁于窗口层级,虽然可以截图置顶,但总归不如直接置顶窗口方便。于是我早早的便写了类似功能的脚本,只是最近才对其进行功能上的完善和扩展,使使用更人性,更直观。说人话就是更......
  • PHP下的webshell免杀
    异或免杀大多数情况下,开发者为了方便自身的需求,会使用"黑名单"的方式扳掉许多敏感函数,来达到一个表面看上去新相对安全的一个目的,但是却不知道因为这种大意的思维会导致整个系统都处于极度危险中;攻击者以往遇见这种情况。完全可以通过加密的方法可以解决大部分的问题(eg:异或加密,ba......
  • 题解 Cow and Snacks
    被黄题创死了2333题目链接首先肯定有一个贪心的想法:尽量使得人们拿的花重复,即尽量使得每个人都拿一束花。当然第一个人必须拿两束。接着思考:如何找出有几个人是必须拿两束花的。其实很简单,当\(A,B\)两人不能通过其他人使得他们的花有联系,比如\(A\)喜欢\(1,2\),\(B\)喜欢......
  • 使用-Terraform-创建一个新的Azure-资源组-虚拟网络-子网
    本文主要讲解如何使用Terraform-在AzureCloud中创建一个新的资源组然后在这个资源组中,创建一个虚拟网络-192.168.10.0/24,以及8个/27位子网环境说明:一般都是资源与资源组在一个Location位置中,写法也相对简单一些因此本文,使用了,资源组,与虚拟网络资源不在同一个Location位置的......
  • python实现链表(单链,双链)
    #code:utf-8#createTime:2023.8.17#-----------------------------------------------------------------------------classNode:"""节点类,每个数据就是一个节点,包含一个数据位和一个指针位,指针指向下一个数据的内存地址"""def__init__(s......
  • SQL Server触发器
    文章来源: SQLServer触发器-hoojo-博客园(cnblogs.com)--触发器是一种特殊类型的存储过程,它不同于之前的我们介绍的存储过程。触发器主要是通过事件进行触发被自动调用执行的。--而存储过程可以通过存储过程的名称被调用。--触发器对表进行插入、更新、删除的时候会自......
  • Centos安装MySQL数据库
    写在前面本文使用的root账户进行操作,若不是root账户需要在操作前加上sudo大家一定要注意数据库安全问题啊......