怎么理解关于PHP网站存在的XXE漏洞复现

怎么理解关于PHP网站存在的XXE漏洞复现，针对这个问题，这篇文章详细介绍了相对应的分析和解答，希望可以帮助更多想解决这个问题的小伙伴找到更简单易行的方法。

创新互联公司服务项目包括江北网站建设、江北网站制作、江北网页制作以及江北网络营销策划等。多年来，我们专注于互联网行业，利用自身积累的技术优势、行业经验、深度合作伙伴关系等，向广大中小型企业、政府机构等提供互联网行业的解决方案，江北网站推广取得了明显的社会效益与经济效益。目前，我们服务的客户以成都为中心已经辐射到江北省份的部分城市，未来相信会继续扩大服务区域并继续获得客户的支持与信任！

“XXE：全称(XML External Entity Injection),XML外部实体，也就是XML外部实体注入攻击，漏洞是在对不安全的外部实体数据进行处理时引发的安全问题。话不多说，咳咳-开整！！

 

Step1:登录

输入不正确的用户名和密码，提示错误。“

 

Step2:抓包

打开burpsuite抓取登录数据包，发送到repeater模块。

 

GO一下，正常的响应数据,响应码是200，内容结果为1admin。

 

Step3:插入XXE

在请求信息中插入XXE实体代码

Step4:获取信息

已获取到服务器端c:\windows\win.ini文件内容。

 

Step5:更改

再次修改XXE实体代码，访问system.ini

实体符号

&It;	<	小于号
&gt;	>	大于号
&amp;	&	和号
&apos;	‘	单引号
&quot;	“	引号

默认协议

LIBXML2	PHP	JAVA	.NET
file	file	http	file
http	http	https	http
ftp	ftp	ftp	https
	php	file	ftp
	phar	jar

防御XXE：

1、 使用简单的数据格式（JSON），避免对敏感数据进行序列化。

2、 及时修复更新应用程序或底层操作系统使用的XML处理器和库。

3、 过滤用户提交的XML数据。

4、 使用开发语言提供的禁用外部实体的方法。

     5、及时利用工具预防检测XXE漏洞。

关于怎么理解关于PHP网站存在的XXE漏洞复现问题的解答就分享到这里了，希望以上内容可以对大家有一定的帮助，如果你还有很多疑惑没有解开，可以关注创新互联行业资讯频道了解更多相关知识。

文章题目：怎么理解关于PHP网站存在的XXE漏洞复现
本文来源：http://shouzuofang.com/article/jhpssh.html