proto.lib

XXE - XML External Entity Injection

Parser XML xử lý entity ngoài do attacker định nghĩa, cho phép đọc file hệ thống hoặc thực hiện SSRF qua tài liệu XML độc hại.

SecurityNâng cao2026-07-08
XXE - XML External Entity Injection

Tags

#xxe#xml#injection#owasp#ssrf

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Insecure Deserialization

Deserialize dữ liệu không tin cậy cho phép attacker tạo object độc hại dẫn tới thực thi mã tùy ý trên server.

#deserialization#rce#owasp#gadget-chain
SecurityNâng cao

Chống SSRF (Server-Side Request Forgery)

Server validate và giới hạn URL do người dùng cung cấp trước khi thực hiện request nội bộ, ngăn attacker dùng server để truy cập tài nguyên internal.

#ssrf#url-validation#allowlist#internal-network
SecurityNâng cao

Đánh cắp Credential qua IMDS (SSRF → IMDSv2)

Một lỗ hổng SSRF trên server khiến request server-side tới endpoint metadata của instance (169.254.169.254) trả về credential tạm thời của IAM role gắn cho instance; attacker dùng credential đó gọi API cloud từ bất kỳ đâu — IMDSv2 (yêu cầu PUT token, hop limit 1) cùng chặn mạng và role tối thiểu là các lớp phòng thủ chính.

#ssrf#imds#imdsv2#aws