參考文章 ：
xxe漏洞逐漸走向消亡 libxml 2.9.0 以後 ，預設不解析外部實體 遂 xxe漏洞逐漸消亡語法：
1.xml元素都必須有關閉標籤。
2.xml 標籤對大小寫敏感。
3.xml 必須正確地巢狀。
4.xml 文件必須有根元素。
5.xml 的屬性值須加引號。
1.xml 文件宣告，在文件的第一行
2.xml 文件型別定義，即dtd，xxe 漏洞所在的地方
3.xml 文件元素
everyday italian
giada de laurentiis
2005
30.00
在 xml 中一些字元擁有特殊的意義，如果把字元 < 放在 xml 元素中，便會發生錯誤，這是因為解析器會把它當作新元素的開始。
例如:hello < world
便會報錯，為了避免這些錯誤，可以實體引用來代替 < 字元
hello < world
xml中，有 5 個預定義的實體引用，分別為：
簡單來說dtd就是對xml格式的規劃，有了dtd，xml寫的更加規範
(文件型別定義（dtd）可定義合法的xml文件構建模組。它使用一系列合法的元素來定義文件的結構。dtd可被成行地宣告於xml文件中，也可作為乙個外部引用。帶有dtd的xml文件例項)
不寫了，還是看csdn老哥對xxe講解的比較詳細！！
PHP環境 XML外部實體注入漏洞（XXE）
好好學習，天天向上 libxml2.9.0以後，預設不解析外部實體，導致xxe漏洞逐漸消亡。為了演示php環境下的xxe漏洞，本例會將libxml2.8.0版本編譯進php中。php版本並不影響xxe利用。libxml2.8.0版本 使用vulhub 使用docker啟動 docker compos...
PHP環境XML外部實體注入防禦（XXE）
php 7.0.30 libxml 2.8.0 為了演示php環境下的xxe漏洞，本例將libxml2.8.0版本編譯進php中。php 版本並不影響xxe利用。使用如下命令編譯並啟動環境 cd vulhub php php xxe docker compose up d web目錄如下 tree ...
OWASP之XXE（XML外部實體注入）
前提條件 libxml2.9.1 及以後，預設不解析外部實體。可使用phpinfo 檢視libxml的版本資訊。後加phpinfo.php xml文件 組成 xml宣告，dtd部分，xml部分 cross domain policy根節點，http dtd引用檔案位置 dtd 文件型別定義 為xml...