XXE漏洞复现步骤 0X00XXE注入定义 XXE注入，即XML External Entity，XML外部实体注入。通过 XML 实体，”SYSTEM”关键词导致 XML 解析器可以从本地文件或者远程 URI 中读取数据。所以攻击者可以通过 XML 实体传递自己构造的恶意值，是处理程序解析它。当引 ...
分类：
其他好文 时间：
2020-02-15 15:32:53
阅读次数：
203
数据字典是指对数据的数据项、数据结构、数据流、数据存储、处理逻辑、外部实体等进行定义和描述，其目的是对数据流程图中的各个元素做出详细的说明。 数据字典（Data dictionary）是一种用户可以访问的记录数据库和应用程序源数据的目录。主动数据字典是指在对数据库或应用程序结构进行修改时，其内容可以 ...
分类：
其他好文 时间：
2019-12-11 21:23:02
阅读次数：
483
CVE-2014-3529 Date2014类型 注入XML外部实体访问外部实体资源或者读取任意文件 影响范围 Apache POI 3.10-FINAL及以前版本复现 CVE-2016-5000 CVE-2017-5644 ...
分类：
Web程序 时间：
2019-12-10 17:04:38
阅读次数：
117
Web for pentester_writeup之XML attacks篇 XML attacks（XML攻击） Example 1 XML外部实体注入(XXE) Payload Example 2 Xpath注入 输入一个单引号，报错，分析报错信息发现xpath函数，猜测是xpath注入 可知X ...
分类：
Web程序 时间：
2019-09-25 15:37:26
阅读次数：
95
1、 数据字典是结构化分析的一个重要输出。数据字典的条目不包括（外部实体）。 解析： 数据字典是指对数据的数据项、数据结构、数据流、数据存储、处理逻辑、外部实体等进行定义和描述，其目的是对数据流程图中的各个元素做出详细的说明，使用数据字典为简单的建模项目。其条目有数据流、数据项、数据存储、基本加工等 ...
分类：
其他好文 时间：
2019-09-15 19:37:39
阅读次数：
192
1.以上一篇文档为基础 2.创建jdbc外部属性文件 application.properties此名字为默认文件名z在使用是不需要使用 @Propertysource("classpath:jdbc.properties") 3.获取application.properties中的属性 4.注入s ...
分类：
数据库 时间：
2019-09-01 21:29:23
阅读次数：
118
0X00：前言 介绍： XXE漏洞全称XML External Entity Injection 即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件和代码，造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、发起Dos攻击等危害。 ...
分类：
其他好文 时间：
2019-07-10 22:57:24
阅读次数：
198
下午第一题就是数据流图（DFD），15分。 数据流图的基本概念 数据字典 数据平衡原则 考查点一般是补充外部实体、补充数据存储、补充数据流、数据流可能出现的问题等。 分层数据流图： 顶层数据流图和0层数据流图的差别，在于后者是前者的细化，可以把前者的“加工”部分展开，如下图的数据管理中间件。 下图中 ...
分类：
其他好文 时间：
2019-05-26 12:45:27
阅读次数：
126
先记录一道题 输入框中输入的内容会被显示到上面的区域中。查看后台源码，有这样的一个片段 传入一个json形式的数组 传入json以后发现只是几个特定的值被记录下来。这里用到的就XXE漏洞 XML:可扩展标记语言，标准通用标记语言的子集，是一种用于标记电子文件使其具有结构性的标记语言。 有些XML文档 ...
分类：
其他好文 时间：
2019-05-25 22:54:28
阅读次数：
313
