第四十四题——[NCTF2019]Fake XML cookbook

题目地址：https://buuoj.cn/challenges

解题思路

第一步：进入题目，发现页面是一个登录框，通过题目的XML提示，是使用XML注入漏洞

第二步：随便输入账号密码，使用burpsuite抓包，发现XML数据

第三步：使用XML引用外部实体读取文件

1. 构建XML语句，由于是读取文档，所以使用note

<?xml version="1.0" encoding="utf-8"?>
<!DOCTYPE note [
<!ENTITY XXE SYSTEM "file:///文件名" >]>
<name>&XXE;</name>

2. 在用户名输入admin，密码随便，提交后使用burpsuite抓包后改包，将xml语句添加上去获取flag