技能介绍

你要解决的具体问题

XML External Entity（XXE）注入是一种常被低估的漏洞：它可能读取服务器敏感文件、发起 SSRF 请求，甚至在特定环境下导致拒绝服务。但在实际测试中，XXE 的表现形式极其多样——有的藏在 SOAP 请求的 XML 体里，有的伪装成 SVG/docx 文件上传，还有的仅通过带外请求（OOB）泄露数据。若仅依赖手工零散测试，很容易遗漏盲注场景或文件上传链路中的实体解析点，尤其在漏洞赏金项目中，快速系统化地覆盖各类 XXE 变体是关键挑战。

技能如何工作：核心能力与关键步骤

这个技能本质是一套结构化的 XXE 测试清单，核心能力是覆盖主流 XXE 类型并按可复用的步骤执行：

覆盖多场景漏洞类型：包括经典 XXE（直接返回实体内容）、盲注 XXE（通过 OOB 带外通道泄露数据）、文件上传型 XXE（针对 SVG/docx 等解析 XML 的文件格式）、SOAP/REST API 中的 XXE、报错型 XXE（利用错误信息泄露数据）、XInclude 攻击，以及 XXE 过滤器绕过技巧。
按清单执行测试：激活技能后，会按顺序加载并应用完整方法论作为操作清单——优先确认目标是否存在 XML 解析逻辑（如表单、API、上传功能），再针对每个技术点评估适配性（例如 SOAP 接口需构造带外部实体的 XML 体，文件上传需检查上传后的实体解析行为），并跟踪已完成的检查项，最后根据发现提出后续测试建议。

适用边界与注意点

仅限授权测试：技能设计用于自有应用、安全测试项目或漏洞赏金（bug bounty）场景，严禁用于未授权目标，避免法律风险。
不替代完整安全审计：XXE 测试需结合目标的具体技术栈（如 Java 的 DocumentBuilderFactory 配置、Python 的 lxml 库行为），清单仅提供标准化测试点，无法覆盖所有自定义解析逻辑的特殊情况。
关注过滤器绕过：若目标存在 XXE 防护（如禁用外部实体），技能会指导尝试常见绕过方式（如编码实体、利用解析器特性），但无法保证所有防护场景下均能成功。