xxe - lab

php-xxe

我们抓一下包看一下吧。

看到了我们发送的用户名/密码都是以POST形式发送的。并且很像是xml文档、

接下来开始源码审计。

loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);//将我们发送的字符串生成xml文档。 $creds = simplexml_import_dom($dom);//这一步感觉相当于实例化xml文档 $username = $creds->username;//获取username标签的值 $password = $creds->password;//获取password标签的值 if($username == $USERNAME && $password == $PASSWORD){//将获取的值与前面的进行比较。... $result = sprintf(" %d%s",1,$username);//注意必须要有username这个标签，不然的话找不到username,就没有了输出了，我们也不能通过回显来获取信息了 }else{ $result = sprintf(" %d%s",0,$username);//与上方相同，都会输出username的值，都可以达到我们的目的 } }catch(Exception $e){ $result = sprintf(" %d%s",3,$e->getMessage()); } header('Content-Type: text/html; charset=utf-8'); echo $result; ?>

接下来只要有一点点的xxe基础就可以了，目标明确，只要我们构造的payload最后输出在username里面就行了，于是构造

]>
&test;Mikasa

下面是结果：

参考：https://lightless.me/archives/Research-On-XXE.html