安全KER - 安全资讯平台

XML外部实体注入就是一种干扰应用程序处理XML数据的行为，攻击者可以利用该漏洞发动如SSRF之类的攻击从而实现某种恶意目的。

NaTsUk0
2021-07-28 15:30:41

532028次阅读

XXE

XXE从入门到放弃

XXE

Web安全

XXE全称XML External Entity Injection，也就是XML外部实体注入攻击，是对非安全的外部实体数据进行处理时引发的安全问题。要想搞懂XXE，肯定要先了解XML语法规则和外部实体的定义及调用形式。

Gcow安全团队
2020-01-19 10:30:35

1739662次阅读 1

XXE

XXE Bypass WAF

XXE

Web安全

XXE或XML外部实体是2017 OWASP Top10漏洞列表中的新问题。这是基于来自安全问题数据库的直接数据证据而引入的唯一的一个新问题。

Smi1e
2019-02-14 14:30:29

730778次阅读 2

XXE

PhpSpreadsheet 1.5.0 XXE漏洞复现及分析

2018年11月13日，PhpSpreadsheet 被爆出存在XXE漏洞（CVE-2018-19277)，在表格的解压文件中插入UTF-7编码的恶意xml payload，可绕过PhpSpreadsheet 库的安全检查造成XXE攻击。

wps2015
2019-01-25 16:45:45

708259次阅读

XXE

Ectouch2.0 分析代码审计流程 (五) xxe漏洞

感觉这个cms漏洞挖的差不多了,Ectouch好歹也是电商网站又不是给我们写bug来学习代码审计的,后面如果没找到什么有趣的漏洞,为了这个系列完整性我也会去审计一些有其他漏洞的cms。

xq17
2019-01-23 16:00:14

538006次阅读 1

XXE

从XXE盲注到获取root级别文件读取权限

XXE

Web安全

xml

在最近的一次赏金活动中，我发现了一个XML终端，它对XXE漏洞利用尝试给出了有趣的响应。针对这一终端，我没有找到太多的文档记录，只发现了在2016年由一位开发人员做出的记录。

P!chu
2018-12-14 16:30:06

693385次阅读 6

由浅入深剖析xml及其安全隐患

本文用来归纳并深入理解xml语言及其在web环境中可能存在的安全隐患。

一叶飘零
2018-08-13 14:30:00

714191次阅读 4

漏洞

5月26日安全热点-某信用卡漏洞：额度可提15万，瞬间被撸25亿

某信用卡漏洞：额度可提15万瞬间被撸走25亿；施耐德电气发布 SoMachine Basic 安全更新，修复一个XXE漏洞；

360CERT热点播报
2018-05-26 10:15:40

219061次阅读

漏洞

5月6日安全热点 - 黑客可在24小时内将已知漏洞武器化

今日热点：尼日利亚黑客组织再起花式APT攻击；研究人员在大众和奥迪汽车中发现远程利用漏洞，兄弟买车了么？别人家的黑客惹不起系列：美国国家安全局发现黑客可在24小时内将已知漏洞武器化；

360CERT热点播报
2018-05-06 10:23:10

312734次阅读 1

XXE

ORACLE PEOPLESOFT远程执行代码：将XXE盲注到SYSTEM SHELL

XXE

安全漏洞

远程代码执行

PeopleSoft应用程序使用了很多不同的端点，其中很多端点未经过身份验证。其中也有很多服务是使用了默认密码，导致它在安全方面非常不稳固。本文以一种通用的方式将XXE载荷转换为系统运行命令。

如果你能触动人的心灵
2018-05-03 17:21:09

274625次阅读 5