13518219792
怎么理解关于PHP网站存在的XXE漏洞复现，针对这个问题，这篇文章详细介绍了相对应的分析和解答，希望可以帮助更多想解决这个问题的小伙伴找到更简单易行的方法。
创新互联公司服务项目包括江北网站建设、江北网站制作、江北网页制作以及江北网络营销策划等。多年来，我们专注于互联网行业，利用自身积累的技术优势、行业经验、深度合作伙伴关系等，向广大中小型企业、政府机构等提供互联网行业的解决方案，江北网站推广取得了明显的社会效益与经济效益。目前，我们服务的客户以成都为中心已经辐射到江北省份的部分城市，未来相信会继续扩大服务区域并继续获得客户的支持与信任！
“XXE：全称(XML External Entity Injection),XML外部实体，也就是XML外部实体注入攻击，漏洞是在对不安全的外部实体数据进行处理时引发的安全问题。话不多说，咳咳-开整！！
Step1:登录
输入不正确的用户名和密码，提示错误。“
Step2:抓包
打开burpsuite抓取登录数据包，发送到repeater模块。
GO一下，正常的响应数据,响应码是200，内容结果为1
Step3:插入XXE
在请求信息中插入XXE实体代码
Step4:获取信息
已获取到服务器端c:\windows\win.ini文件内容。
Step5:更改
再次修改XXE实体代码，访问system.ini
实体符号
| &It; | < | 小于号 |
|---|---|---|
| > | > | 大于号 |
| & | & | 和号 |
| ' | ‘ | 单引号 |
| " | “ | 引号 |
默认协议
| LIBXML2 | PHP | JAVA | .NET |
|---|---|---|---|
| file | file | http | file |
| http | http | https | http |
| ftp | ftp | ftp | https |
| php | file | ftp | |
| phar | jar |
防御XXE：
1、 使用简单的数据格式（JSON），避免对敏感数据进行序列化。
2、 及时修复更新应用程序或底层操作系统使用的XML处理器和库。
3、 过滤用户提交的XML数据。
4、 使用开发语言提供的禁用外部实体的方法。
5、及时利用工具预防检测XXE漏洞。
关于怎么理解关于PHP网站存在的XXE漏洞复现问题的解答就分享到这里了，希望以上内容可以对大家有一定的帮助，如果你还有很多疑惑没有解开，可以关注创新互联行业资讯频道了解更多相关知识。
