XXE 注入
在开始之前，先认识一下，最常见的XXE漏洞类型，这样有助于攻击并创造最终正确的 POC：
1.基础的 XXE 注入——外部实体注入本地 DTD。
2.基于盲注的 XXE 注入—— XML 解析器在响应中不显示任何错误。
3.基于错误的 XXE 注入——成功解析之后，XML 解析器始终显示 SAME 响应。即“你的消息已被接收”，因此，我们可能希望解析器将文件的内容 打印 到错误响应中。
XXE是一个非常强大的攻击，它允许我们操纵错误的XML解析器并利用它们。请注意，有更多的技术和攻击利用方式可以通过XXE注入完成。如前所述，每个解析器都有不同的能力，因此我们可以提出不同的漏洞；；
看了一张相关的文章所以知道了 XXE 漏洞攻击；
https://www.secpulse.com/archives/58915.html
还有一个下载的实验；https://appsec-labs.com/portal/wp-content/uploads/2016/09/XXE-demo-try-it-onyourself.rar
这个文章有一个原文链接：https://appsec-labs.com/portal/xxe-attacking-guide/
看了几个 XXE 漏洞很多文章都是在2016 2017 的；过后做一下这个 XXE 漏洞实验；
看了一个内网大杀器利用：CVE - 2019 - 1024 漏洞
链接如下：
https://msd.misuland.com/pd/3255817997595445898
学习一下
原文：https://www.cnblogs.com/H-hy/p/11581357.html