当前位置：首页 > news >正文

jarvisoj API调用 [JSON格式变XXE]

news 2025/7/24 0:48:48

http://web.jarvisoj.com:9882/

题目要求：请设法获得目标机器 /home/ctf/flag.txt 中的flag值

抓包得到：

POST /api/v1.0/try HTTP/1.1
Host: web.jarvisoj.com:9882
Content-Length: 36
Accept-Language: zh-CN,zh;q=0.9
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/134.0.0.0 Safari/537.36   
标志客户端的类型和版本，这里是模仿Chorme浏览器
Content-Type: application/json
Accept: */*                               客户端能够接受的响应类型为任意
Origin: http://web.jarvisoj.com:9882      
Referer: http://web.jarvisoj.com:9882/    由哪个界面发起 
Accept-Encoding: gzip, deflate, br
Connection: keep-alive

{"search":"type sth!","value":"own"}
//为JSON格式的数据

发现这是JSON格式的数据

学习了个很新的姿势：可以把JSON数据改成XML格式，再进行XXE注入

注意需要把Content-Type修改成/xml

查看全文

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.dtcms.com/a/101527.html 如若内容造成侵权/违法违规/事实不符，请联系邮箱：809451989@qq.com进行投诉反馈，一经查实，立即删除！