Blind XXE with out-of-band interaction via XML parameter entities

Link: https://portswigger.net/web-security/xxe/blind/lab-xxe-with-out-of-band-interaction-using-parameter-entities

Description:

This lab has a "Check stock" feature that parses XML input, but does not display any unexpected values, and blocks requests containing regular external entities.

To solve the lab, use a parameter entity to make the XML parser issue a DNS lookup and HTTP request to Burp Collaborator.

Proof of concept:

1. Analisa web target

2. Dari hasil analisa, terdapat fitur Check stock yang pada body requestnnya menggunakan type XML

   
3. Lakukan injeksi XML dengan menggunakan payload

   
4. Jika sudah, kirim request tersebut dan buka menu Collabollator pada burp suite, terlihat terdapat request yang dikirimkan dari alamat IP server target yang artinya payload yang sebelumnya diinjeksikan berhasil dieksekusi oleh target

   

   

   

Thanks, Stay Ethical & Happy Hacking! 🍻