В первую очередь обращайте внимание на фичи приложения, которые потенциально могут работать с XML:
🔹 Веб-сервисы на основе XML (SOAP, REST и RPC API, которые принимают и обрабатывают данные в формате XML).
🔹 Любая фича импорта / экспорта, которая доставляет или принимает данные в формате XML.
🔹 Обработчики RSS и Atom лент.
🔹 Просмотрщики и конвертеры документов, работающие с файлами форматов DOCX, XLSX и другими XML-документами.
🔹 Загрузка и обработка файлов в XML (например, SVG-изображения).
💡 Главное правило
Ищите компоненты, принимающие и обрабатывающие произвольные XML-данные. Иногда REST API случайно настроены на приём разных форматов данных, включая XML.
Всегда проверяйте, какие форматы принимает приложение — это поможет найти потенциальные векторы атаки.
❓ Как автоматизировать поиск
Добавьте в Proxy Interceptor правило замены типа содержимого: с
application/json на text/xml. Далее отслеживайте ошибки парсинга XML.Уровень сложности: 🪲🪲