php无法解析外部实体。

2017-10-10 02:21:29 532 阅读 AI 写同款 · GEO 优化AI 选题数据监测一键分发 ›

XXE（xml外部实体注入）一、什么是xml 二、漏洞原理三、攻击方式四、危害五、如何防御阅读详情

代码：

<?php  

$xml=<<<EOF

<?xml version="1.0" encoding="ISO-8859-1"?>

<!DOCTYPE address[

    <!ENTITY xxe SYSTEM "file:///d:/test.txt">

]>

<root><xxe>&xxe;</xxe></root>

EOF;

$data = simplexml_load_string($xml);

var_dump($data);    

echo phpversion();

?>

输出内容：



object(SimpleXMLElement)#1 (1) {

  ["xxe"]=>

  object(SimpleXMLElement)#2 (1) {

    ["xxe"]=>

    object(SimpleXMLElement)#3 (1) {

      ["xxe"]=>

      object(SimpleXMLElement)#4 (0) {

      }

    }

  }

}

5.5.38

d:/test.txt中的内容没有获得。
在5.2.17和5.4.45版本中没有出现这种问题。

...全文