XML 外部实体 (XXE) 注入

# 简介

在本实验中，你将学习 XML 外部实体 (XXE) 注入，这是一种允许攻击者干扰应用程序处理 XML 数据方式的 Web 安全漏洞。

XXE 的本质在于解析器的行为。应用程序认为它只是在解析数据，但 XML 解析器同时也在处理嵌入在该数据格式中的额外指令。

当 Web 应用程序在解析 XML 输入时没有正确禁用外部实体解析，攻击者就可以定义指向服务器本地文件的自定义实体。通过将这些恶意实体注入到 XML 负载中，攻击者可以强制服务器读取敏感文件（如 `/etc/passwd`）并将其内容返回到 HTTP 响应中。你将扮演安全测试人员的角色，识别 XML 端点，构建恶意负载，并成功提取系统文件。