Nuevos labs cada semana — Accede a todos desde 5€/mes
Ver labs →Labs de XXE
XML External Entity (XXE)
¿Qué es XXE?
La XXE explota parsers XML que resuelven entidades externas. Permite leer archivos arbitrarios del servidor, hacer SSRF (vía DTD remoto), ataques de DoS (billion laughs) y, en algunos parsers, ejecución remota de código.
¿Por qué practicar XXE?
Aunque muchos parsers tienen entities desactivadas por defecto post-2018, sigue apareciendo en features que aceptan archivos XML/SVG/DOCX/SOAP, importadores de configuración y APIs SAML. Un XXE crítico paga $2,000-$15,000 por la lectura arbitraria de archivos y SSRF.
¿Qué aprenderás con los labs de XXE?
Aprenderás a construir DTDs internas (file:// targets), DTDs externas para blind XXE con exfil OOB via FTP/HTTP, payloads disfrazados en SVG/DOCX/PPTX (XML zipped), y los bypass de los parsers más comunes (libxml2, JAXB, Python lxml).
Tipos de XXE que cubrimos
- In-band XXE
El output del XML parseado se refleja en la respuesta. Lees /etc/passwd directamente.
- Blind XXE (OOB)
Sin output: usas DTD externa que hace una petición HTTP/FTP a tu Burp Collaborator con el contenido del archivo encoded.
- XXE via SVG
Apps que aceptan SVG (avatar upload, image processor) lo parsean como XML. Mismo vector, packaging diferente.
- XXE en SOAP/SAML
Endpoints legacy que parsean SAML/SOAP sin disable_entities. Suelen estar en B2B y enterprise.
Cargando labs...
Ver en catálogo completo →Otras categorías relacionadas
Empieza con labs de XXE
Practica XML External Entity (XXE) con labs basados en reportes reales. En español. Desde 5€/mes.
Empieza con el primer lab de XXE