bp官方靶场xml外部实体（XXE）注入漏洞1

第一关 使用外部实体利用 XXE 检索文件

这一关就是在xml这个结构化标记语言中，插入外部实体注入语句，实现检索文件内容

提示：1、靶场具有“检查库存”功能，可解析 XML 输入并返回响应中的任何意外值。

2、要解决该实验室，请注入一个 XML 外部实体来检索 /etc/passwd 文件的内容。

具体操作：

1、运行burp时，访问产品，点击查看产品库存

2、把这个检查库存的POST /product/stock数据包发往repeater

3、现在利用xxe漏洞，注入外部实体语句

在 XML 声明和 stockCheck 元素之间插入以下外部实体定义：

<!DOCTYPE test [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]>

然后引用外部实体语句：

将 productId 编号替换为对外部实体的引用：&xxe;

发现响应中检索出文件内容

刷新浏览器，靶场过关