访问网站发现可能存在XXE漏洞:

1665398720242

使用Burpsuit抓包:

1665398791844

存在回显案例:

构造攻击语句发包,攻击成功且存在回显:

使用file协议成功访问到文件

1665398863584

使用filter协议测试:

1665399067510

使用http协议测试:

1665399194925

不存在回显案例

构造语句发包测试,发包成功但无回显:

1665399323819

先在自身网站创建配合攻击的文件,配置好监听IP与端口:

1665399458511

监听主机开启监听:

1665399565114

构造payload发包攻击

1665399600968

监听主机成功获取到信息:

1665399672195

使用file协议测试:

1665399826092

测试成功:

1665399844796