Кавычка

Кавычка

7058
17 Авг 2018

Знакомые тебе форматы Microsoft Office: docx, xlsx, это zip архив, содержащий данные в виде XML (они так и называются - Office Open XML и подобны OpenDocument Format). А это значит, что если сайт обрабатывает (парсит, конвентирует) подобные файлы - есть вероятность атаки XXE (https://xakep.ru/2012/12/11/xml-apps-attacks-manual/), как следствие, чтение произвольных файлов, SSRF, DoS, в идеале - выполнение произвольного кода.

Если веб-приложение пытается работать с метаданными в изображении (jpg, png, gif, да-да), такими как XMP - то можно попробовать выполнить атаку с помощью них! Чего уж говорить об изображении формата SVG (это вообще XML в чистом виде)!

Так вот, для экспериментов есть отличная тулза, которая позволяет сгенерировать документы и картинки с подобной полезной нагрузкой.

https://github.com/BuffaloWill/oxml_xxe

Другие посты по теме...

Stickers save Stickers save @stickerssave
🇬🇧 Big Boss Cat Cat Cats Кот Коты Boss Босс Начальник Fat cat Офис Office ENG 👨‍💼💸😺 #eng #char #cats #office
Гифки Ебанутой Гифки Ебанутой @funny_porn
У вас есть знакомые задроты? Вот и у меня был такой товарищ. Он был никем всю свою жизнь и в какой-то момент стал человеком, которому начинаешь завидовать, желать жить его жизнью и отдыхать как он… Так я встретил...
LIFEHACK VIDEO 💡 LIFEHACK VIDEO 💡 @LifeHackVideo
​​Любишь поиграть в казино, но собственные деньги нет желания тратить?💰 Любишь халяву, но не знаешь где её искать?🤔 Подписывайся на канал "BonusHunt" https://t.me/gambling_bonus ! На нём - ежедневная сводка всех...
Магазин онлайн - скидки, акции Магазин онлайн - скидки, акции @shopru
​​Квадрат Пифагора: узнай характер по дате рождения. Эти нехитрые вычисления помогут вам раскрыть характер человека. Для этого нужно узнать дату рождения.  И прочитать продолжение
MDK MDK @mudak
МДКач, у меня важный вопрос: Вы когда-нибудь ебали бабу без сознания? anonymous poll Нет – 952 👍👍👍👍👍👍👍 88% Да – 133 👍 12% 👥 1085 people voted so far.