('ω')ノAndroidといっても、モバイルアプリに特化した脆弱性ではないので。これまでとは、やり方は同じでして。NameとIDを入力して。リクエストでパラメータを確認してからリピータへ。empidを変更できるかを確認してから一歩ずつ。{"data":"<emp><empid>10733</empid><uid>a</uid><uname>a</uname></emp>"}下記から、XXEのペイロードを。https://github.com/payloadbox/xxe-injection-payload-listここもXMLに慣れるまでは、ひとつひとつ追加していくことに。ダブルクォーテーションをエスケープしないといけないようで。?--><emp><empid>10733</empid><uid>a</uid><uname>a</uname></emp>"}次のステップへ進むために別のペイロードを。変数に代入できる構文が正常に動作するかの確認を。当然ながら、結果は同じなわけで。]><emp><empid>10733</empid><uid>a</uid><uname>a</uname></emp>"}次に代入した変数を表示させることに。]><emp><empid>&example;</empid><uid>a</uid><uname>a</uname></emp>"}最後に目的のファイルを取得するようにして。公共交通機関の発券モバイルAPPのXXEを。injectionsを。(3)引用をストックしましたストック一覧を見る閉じる引用するにはまずログインしてくださいログイン閉じる引用をストックできませんでした。再度お試しください閉じる限定公開記事のため引用できません。