xxe漏洞漏洞详解

最新推荐文章于 2026-06-15 10:17:43 发布

原创

最新推荐文章于 2026-06-15 10:17:43 发布 · 1.2k 阅读

XXE漏洞概念 XXE(XML External Entity Injection) XML外部实体注入。重点： XML 外部实体注入这三部分搞清楚 XML是一种类似于HTML（超文本标记语言）的可扩展标记语言，是用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声明、DTD文档类型定义（可选）、文档元素。

什么是 XML？ XML 指可扩展标记语言（EXtensible Markup Language）。 XML 是一种很像HTML的标记语言。 XML 的设计宗旨是传输数据，而不是显示数据。 XML 标签没有被预定义。您需要自行定义标签。 XML 被设计为具有自我描述性。 XML 是 W3C 的推荐标准。

XML的作用主要就是存储数据传输数据。

基础语法

<?xml version="1.0" encoding="UTF-8"?>
<note>
<to>Tove</to>
<from>Jani</from>
<heading>Reminder</heading>
<body>Don't forget me this weekend!</body>
</note>

文档结构图：

语法规则： XML 文档必须有根元素 XML 声明（可选）所有的 XML 元素都必须有一个关闭标签 XML 标签对大小写敏感 XML 必须正确嵌套 XML 属性值必须加引号实体(字符实体)引用（同html） XML 中的注释（同html）在 XML 中，空格会被保留。

XML 命名规则： XML 元素必须遵循以下命名规则：名称可以包含字母、数字以及其他的字符名称不能以数字或者标点符号开始名称不能以字母 xml（或者 XML、Xml 等等）开始名称不能包含空格。

XML的合法性拥有正确语法的 XML 被称为"形式良好"的 XML。通过 DTD 验证的XML是"合法"的 XML。接下来掌握DTD(Document Type Definition)相关知识,有利于我们掌握XXE。 DTD（文档类型定义）的作用是定义 XML 文档的合法构建模块。 DTD 可被成行地声明于 XML 文档中，也可作为一个外部引用。

内部DTD 假如 DTD 被包含在您的 XML 源文件中，它应当通过下面的语法包装在一个 DOCTYPE 声明中：