几个月前在一个SRC的一个夺旗赛看了一下，题目里遇到了他们用自己的云waf保护起来的靶机，不禁心里为出题人鼓掌。

很早就看到别人对这个漏洞的研究，但是完全没有预想到它能有这么大的能量。

XXE（XML实体注入漏洞）顾名思义，漏洞的关键点在于服务器对外部实体的解析。外部实体中可以请求他域资源，也许在包括我之内的很多人在漏洞利用时会习惯的把XXE问题转换成SSRF的问题。

接上一篇 代码审计——zcncms后台SQL注入(一)， 继续挖掘出zcncms的几处漏洞.

由于是后台注入，比较鸡肋，发上来供大家相互参考学习。zcncms版本1.2.14，官方网站地址：
zcncms

反射型xss，相对于持久型xss来说比较鸡肋；需要欺骗用户点击构造好的链接，达到窃取cookie，或是进一步CSRF劫持用户操作的目的。

最近经常会遇到一些比较有意思的漏洞，比如PHP反序列化漏洞,PHP对象注入。

地址>>请猛戳<<