https://github.com/LeadroyaL/java_xxe_2019

总结了一下2019年在JVM环境中使用XXE攻击的知识
https://github.com/LeadroyaL/java_xxe_2019

Last synced: 3 months ago
JSON representation

总结了一下2019年在JVM环境中使用XXE攻击的知识

• Host: GitHub
• URL: https://github.com/LeadroyaL/java_xxe_2019
• Owner: LeadroyaL
• Created: 2019-07-16T17:42:24.000Z (over 5 years ago)
• Default Branch: master
• Last Pushed: 2019-10-31T08:21:40.000Z (about 5 years ago)
• Last Synced: 2024-04-12T22:12:36.762Z (7 months ago)
• Language: Java
• Size: 10.7 KB
• Stars: 58
• Watchers: 1
• Forks: 11
• Open Issues: 1
• Metadata Files:
  • Readme: readme.md

Awesome Lists containing this project

• awesome-hacking-lists - LeadroyaL/java_xxe_2019 - 总结了一下2019年在JVM环境中使用XXE攻击的知识 (Java)

README

        
# 9102年java里的xxe

9102年了，尝试了一下使用 XXE 攻击 java 程序，高版本会失败，总结了一下 jvm 里的变化。

> 配合 http://www.leadroyal.cn/?p=914 使用更佳

### 有回显的情况，测试 Java XXE 对各种协议的支持情况

- LocalEntityDemo.java

- local.txt

- line.txt

运行可以看到file协议被完全执行一遍，并且有回显。

### 使用 http oob 读单行文件

- ExternalEntityDemo1

- server/LocalHttpServer

- d1_step1.xml

- d1_step2.dtd

运行可以看到单行文件内容通过 http 协议传给了http 服务器。

### 使用 ftp oob 读多行文件（高版本会失败）

- 【大于等于7u141】【大于等于8u162】会执行失败

- ExternalEntityDemo2

- server/LocalFtpServer

- d2_step1.xml

- d2_step2.dtd

运行可以看到多行文件内容通过 ftp 协议传给了ftp 服务器。

### 其他

- bad_char1.txt 文件中第一类特殊字符

- bad_char2.txt 文件中第二类特殊字符

- test.pri 随手产生的一个私钥，稍微复杂一点，使用 ftp-oob 读多行也可以正常读取到