xml 指可擴充套件標記語言，xml 被設計用來傳輸和儲存資料。
xml注入一般指在請求的xml資料中插入攻擊利用**，根據不同的場景，可能會形成以下的漏洞形式：
1、xeexmlentity expansion
2、xxexxe injection即xml external entity injection
3、soap注入
4、xpath注入
xpath 是一門在 xml 文件中查詢資訊的語言。xpath 可用來在 xml 文件中對元素和屬性進行遍歷。
xpath注入的場景確實比較少主要出現在利用xml進行資料儲存的時候
也就是當使用xml取代mysql這種資料庫的功能的時候
我自己構造了乙個簡單的場景就是用xml進行使用者資訊儲存的
在登陸的場景時候當使用者登入請求是： //user[username/text()='jhon'andpassword/text()='123456']的時候就可以正常登陸 如果有乙個欄位與xml儲存的不一樣就拒絕登陸 那麼這個時候我們就可以利用sql注入繞過登陸的思路來了 構造以下請求可以登入 //user[username/text()='john'andpassword/text()=''or'a'='a']
總結
mysql xpath注入 資料庫注入技術小結
資料庫注入 database injection 其實質是改寫http協議達到攻擊目的。從資料庫型別分 oracle注入 sql server注入 更詳細的可能要分不同版本了 mysql注入等 從注入技術分 整型數注入 字串注入和搜尋型注入 還有cookie注入和xpath注入，對這兩個沒有研究，有...
注入篇 XML注入
xml是the extensible markup language 可擴充套件標識語言 的簡寫。xml最初設計的目的是彌補html的不足，後來逐漸用於網路資料的轉換和描述。xml的設計宗旨是傳輸資料，而非顯示資料。目前，xml在web中的應用已經非常廣泛。下面舉乙個簡單的xml例項 1.0 enc...
XML注入攻擊
1 檢測方法 通過爬取的url，獲取引數 get post cookie 並修改引數為 26name 3b 匹配對應返回特徵 2 測試向量 測試向量 返回特徵 26name 3b bin bash or 1 1 parent child node 00 對比初始頁面和返回頁面，返回頁面內容包含初始頁...