La inyección XXE (XML External Entity), es un tipo de debilidad de seguridad que explota las vulnerabilidades del input de una aplicación XML. Ocurre cuando la app acepta input XML que incluye referencias a entidades externas en el propio XML. Los atacantes puede usar esta vulnerabilidad para divulgar archivos locales, hacer peticiones del lado del servidor o ejecutar código remoto.
Dado el amplio uso de XML en las aplicaciones web, particularmente en APIs basadas en SOAP, no podemos subestimar esta vulnerabilidad.
Objetivos
- Reconocer conceptos y peligros fundamentales asociados con la inyección XXE.
- Identificar XML vulnerable procesando configuraciones y prácticas.
- Desarrollar técnicas para detectar, explotar y mitigar vulnerabilidades XXE en aplicaciones.
Pre-requisitos
- Conocimiento de cómo se estructuran los documentos XML, incluyendo etiquetas, atributos y referencias a entidades.
- Familiaridad con cómo las aplicaciones web procesan el input y manejan la información.
- Conocimiento básico de OWASP ZAP o Burp Suite.