xxe-injection

仓库创建 2026年7月26日最近提交 1 天前SkillHot 收录 10 小时前

▸ 精选理由

针对老旧 XML 解析器的高危场景，适合审计集成与 API。

▸ 风险提示

包含敏感利用示例，勿在未授权环境中使用。

这个 Skill 做什么

测试可控 XML 是否能通过外部实体读取文件、触发 SSRF 或 DoS。

当你能上传或影响 XML 内容时，可用来检查解析器会不会被 XXE 利用，能读取服务器文件、发起 SSRF 请求或造成 DoS。流程教你怎么找到这些漏洞并给出常见的 one‑liner 利用方法。还会说明解析器加固（parser hardening）该如何防护，方便在渗透测试里验证 XML 处理链的安全性。

▸ 展开 SKILL.md 英文原文

Use when an app parses XML you can influence — testing whether external entities let you read files, reach internal services, or cause DoS — and the parser hardening that stops it.

开发编程XMLXXESSRF通用

Stars

Forks

仓库内 Skill

积累中

7 日增星

安装 / 使用

给你的 Agent 一句话（通用）

帮我安装这个 skill：https://raw.githubusercontent.com/jihedbfr-art/cyber-skills/main/skills/03-web-application-security/08-xxe-injection/SKILL.md

或 curl 直取 SKILL.md

curl -fsSL "https://raw.githubusercontent.com/jihedbfr-art/cyber-skills/main/skills/03-web-application-security/08-xxe-injection/SKILL.md"

SKILL.MD 节选查看完整文件 ↗

## Purpose

XML External Entity injection abuses a legacy XML feature: an XML document can define entities that pull in external content, including local files and URLs. When a parser processes attacker-supplied XML with that feature enabled, it can be made to read files off the server, make requests on the server's behalf (SSRF), or exhaust resources. This skill covers finding XXE and the one-line parser fix.

## When to use it

Anywhere the app parses XML you can control: SOAP endpoints, XML APIs, file uploads that accept XML/DOCX/SVG/SAML, or any `Content-Type: application/xml`. It's easy to miss because the XML is often buried in an import or a document format.

## Procedure

1. Find XML

via SKILL·HOT · 数据来自 GitHub 公开信息 · 原文版权归作者所有