LFIvsXXE

LFI

LFI 利用应用程序动态包含文件的功能，通过路径遍历（../）读取服务器上的敏感文件（如 /etc/passwd、配置文件），严重时可升级为 RCE。

XXE

XXE 通过在 XML 输入中定义外部实体，诱使服务器解析时加载本地文件或发起内部网络请求。虽然现代框架默认禁用外部实体，但遗留系统和配置不当仍常见此漏洞。

LFI

• 通过路径遍历读取服务器文件
• ../../etc/passwd 是经典 payload
• 可能升级为 RCE

XXE

• 利用 XML 解析器的外部实体功能
• 可读取服务器文件或发起 SSRF
• 现代框架默认禁用但遗留系统仍有风险

LFI

通过操纵文件路径参数包含服务器本地文件的安全漏洞

XXE

利用 XML 解析器的外部实体功能读取文件或发起内部请求的注入攻击

LFI

• Web 应用的文件包含漏洞检测
• 敏感配置文件的读取
• 从文件读取升级到代码执行

XXE

• XML 接口的安全测试
• 文件读取和内网探测
• OWASP Top 10 漏洞检测

LFI

LFI 通常出现在 PHP 的 include/require 函数中，攻击者通过 ../../ 遍历目录读取任意文件。进阶利用：通过日志文件注入代码实现 RCE、利用 PHP 伪协议（php://filter）读取源码。防御：白名单限制可包含的文件、禁用危险的 PHP 函数、使用 open_basedir 限制文件访问范围。

XXE

XXE 攻击的原理是 XML 规范允许定义外部实体（如 <!ENTITY xxe SYSTEM "file:///etc/passwd">），解析器会自动加载实体内容。攻击者可借此读取服务器文件、探测内网、甚至执行拒绝服务（Billion Laughs 攻击）。防御方式是禁用 XML 外部实体解析，或使用 JSON 替代 XML。