速通XXE注入懂了吗？别慌，这篇保姆级教程让你彻底拿捏！
嘿,朋友们！我是你们的老朋友，那个在网络安全坑里摸爬滚打多年的“老司机”，今天咱们不聊虚的，直接上硬菜——速通XXE注入懂了吗？我猜你点进来的时候，心里八成是“懂个锤子”或者“懂了一点又好像没懂”的状态吧？哈哈，别不好意思，我刚学的时候也这样，看到那一堆XML代码就头皮发麻，感觉像在读天书。
咱得搞清楚XXE到底是个啥玩意儿？
通俗点说啊,XXE（XML External Entity）XML外部实体注入”，你可以把XML想象成一个“快递盒子”，而XXE攻击呢，就是有人往这个盒子里塞了一张“魔法纸条”，你一打开盒子念出纸条上的咒语，服务器就乖乖听话了，这玩意儿最恶心的地方在于——它能让攻击者读取服务器上的任意文件、发起内网扫描，甚至直接执行系统命令！尤其是那些用老版本PHP或Java写接口的网站，简直是重灾区。
那么问题来了，速通XXE注入懂了吗？关键就三步！
第一步：找“入口”。 你得先找到一个接受XML输入的接口，怎么找？抓包！用Burp Suite拦截请求，看看Content-Type是不是application/xml或者text/xml，如果看到这种类型，恭喜你，有戏！如果没有，你也可以试着改一下请求头硬怼上去，有时候后端会惯性解析。
第二步：构造“payload”。 这里我可要掏出私藏的小本本了，最简单粗暴的就是：
<?xml version="1.0"?> <!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> <foo>&xxe;</foo>
看到没？file:///etc/passwd就是读取服务器密码文件，如果回显里出现了root:x:0:0:，那恭喜你，直接秒杀！但注意啊，很多站点会做限制，这时候就得试试php://filter或者expect://这些协议了。
第三步：利用“回显”或“盲打”。 有回显的情况最好办，直接看响应体就完事儿了，但要是啥都不显示，就得玩“盲XXE”了——通过DNSLog或外带数据，把文件内容发到你的监听服务器上，我第一次搞盲打的时候，盯着DNSLog刷新了半天，看到记录弹出来那一刻，差点激动得把咖啡打翻！
踩坑警示！这些雷区千万别碰
我之前做某授权测试时,遇到一个XXE，本以为读/etc/passwd就完事儿了，结果发现服务器权限贼高，直接尝试读/proc/self/environ，好家伙，把数据库密码都给挖出来了！但紧接着就发现——这站点竟然连着内网，一不小心就可能横向渗透，当时冷汗就下来了，赶紧停手写报告，所以啊，小伙伴们，上手归上手，一定记得“点到为止”，别为了炫技把自己玩进去！法律红线那是真的不能碰的，底线！底线懂不！
速通XXE注入懂了吗？给你个自查清单
- XML解析器是否禁用了外部实体？
- 是否过滤了
DOCTYPE、ENTITY关键字？是否做了特殊字符转义？
如果以上三个答案都是“否”，那妥妥的，漏洞就在面前，但你要是问我“速通XXE注入懂了吗”？我会说：懂原理只是入门，能结合业务场景灵活变通，那才叫真的懂。
最后掏心窝子说两句
说真的,我每次看到网上那些教程把一个知识点讲得玄之又玄，就特别来气！XXE本身不复杂，复杂的是一堆绕过技巧和骚操作，今天这篇文章，就是想把最核心的三板斧教给你，让你在实战中不至于两眼一抹黑，你要是看完能拍着胸脯说“速通XXE注入懂了吗？这次真懂了！”，那我这键盘就没白敲。
行了行了,今天就啰嗦到这儿，如果你有啥问题，或者想了解更多骚操作，评论区留言，我看到了一定回！如果你们想让我再写点别的技巧，比如SQL注入或者SSRF，点个赞让我知道，熬夜也给你们肝出来！咱们下期见，拜拜啦您嘞！😄