Installation
Pick a client and clone the repository into its skills directory.
Installation
About this skill
XXE XML外部实体注入测试的专业技能和方法论
How to use
Zainstaluj skill xxe-testing z repozytorium CyberStrikeAI — zawiera on kompletną metodologię testowania podatności XXE oraz gotowe payloady do eksperymentów.
Zidentyfikuj punkty wejścia XML w testowanej aplikacji: szukaj funkcji przesyłania plików, interfejsów API akceptujących dane XML, żądań SOAP, przetwarzania dokumentów Office (.docx, .xlsx) lub importu danych.
Przeprowadź podstawowy test XXE, wysyłając payload z zewnętrzną encją odwołującą się do pliku systemowego (np. /etc/passwd na Linuksie lub C:/Windows/System32/drivers/etc/hosts na Windows). Obserwuj, czy aplikacja zwraca zawartość pliku w odpowiedzi.
Jeśli aplikacja nie wyświetla bezpośrednio zawartości (XXE ślepe), użyj techniki z parametrami encji i zewnętrznym DTD — wysyłając żądanie do serwera kontrolowanego przez Ciebie, aby przechwycić dane w parametrach URL.
Przetestuj możliwość ataku SSRF, kierując encję do wewnętrznych adresów IP (127.0.0.1) i portów, aby odkryć usługi działające w sieci lokalnej aplikacji.
Dokumentuj wszystkie znalezione podatności, w tym typ XXE (bezpośrednie czy ślepe), możliwe skutki (odczyt plików, SSRF, DoS) i zalecane środki zaradcze, takie jak wyłączenie przetwarzania zewnętrznych encji w parserze XML.