常见漏洞验证121 条

XXE 检测方法（XML 外部实体）

XML 解析若允许外部实体，可被用于读取本地文件或发起请求；验证聚焦 XML 入口与解析器是否解析自定义实体。

验证步骤

1. 找接受 XML 的入口（含 JSON 接口兼容 XML 的情况）
2. 提交包含自定义实体定义的教学样例，观察是否展开或报解析错误
3. 带外验证仅在授权平台/自建回调服务上进行
4. 记录解析器类型、现象与请求样本（脱敏）

不要用第三方公网平台承载回调数据；涉及敏感系统的 DTD 解析行为要与客户确认后再测。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌